CVE-2023-34468

उच्चप्रकाशित

Apache NiFi: H2 का उपयोग करने वाली डेटाबेस सेवाओं के साथ संभावित कोड इंजेक्शन

प्रकाशित: 12 जून 2023
अद्यतन: 13 फ़र॰ 2025
सीएनए असाइन करना: apache
साक्ष्य देखे गए: 8 अग॰ 2026

प्राथमिक सीवीएसएस

8.8/ 10उच्च

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

61.9%

उच्च · अगले 30 दिन

प्रतिशत: 99.2%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

Apache NiFi 0.0.2 से 1.21.0 तक के संस्करणों में DBCPConnectionPool और HikariCPConnectionPool कंट्रोलर सेवाएं एक प्रमाणित और अधिकृत उपयोगकर्ता को H2 ड्राइवर के साथ डेटाबेस URL कॉन्फ़िगर करने की अनुमति देती हैं, जो कस्टम कोड निष्पादन को सक्षम बनाता है। यह समाधान डेटाबेस URL को मान्य करता है और H2 JDBC स्थानों को अस्वीकार करता है। आपको संस्करण 1.22.0 या उसके बाद के संस्करण में अपग्रेड करने की अनुशंसा की जाती है, जो इस समस्या को ठीक करता है।

स्रोत

CVE-2023-34468-POCPoC
CVE-2023-34468 के लिए PoC एक्सप्लॉइट — Apache NiFi <= 1.21.0 में H2 RUNSCRIPT के माध्यम से RCE
CVE-2023-34468एक्सप्लॉइट
CVE-2023-34468 - Apache NiFi H2 RCE PoC
CVE-2023-34468PoC
CVE-2023-34468: Apache NiFi में DB घटकों के माध्यम से रिमोट कोड निष्पादन

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।