CVE-2024-56512

सारांश

Apache NiFi 1.10.0 से 2.0.0 में नए Process Groups बनाते समय Parameter Contexts, संदर्भित Controller Services, और संदर्भित Parameter Providers के लिए सूक्ष्म-स्तरीय (fine-grained) प्राधिकरण जाँच का अभाव है। नया Process Group बनाते समय Parameter Context से बाइंडिंग शामिल हो सकती है, लेकिन ऐसे मामलों में जहां Process Group ने किसी भी Parameter मान का संदर्भ नहीं दिया, फ्रेमवर्क ने बाउंड Parameter Context के लिए उपयोगकर्ता प्राधिकरण की जाँच नहीं की। बाउंड Parameter Context के लिए प्राधिकरण का अभाव ग्राहकों को Process Group बनाने के बाद गैर-संवेदनशील Parameter मान डाउनलोड करने में सक्षम बनाता है। नया Process Group बनाते समय मौजूदा Controller Services या Parameter Providers का संदर्भ भी शामिल हो सकता है। फ्रेमवर्क ने संदर्भित Controller Services या Parameter Providers के लिए उपयोगकर्ता प्राधिकरण की जाँच नहीं की, जिससे ग्राहक Process Groups बना सकते थे और इन घटकों का उपयोग कर सकते थे जो अन्यथा अनधिकृत थे। यह भेद्यता दायरे में केवल उन प्रमाणित उपयोगकर्ताओं तक सीमित है जो Process Groups बनाने के लिए अधिकृत हैं। दायरा आगे घटक-आधारित प्राधिकरण नीतियों वाली तैनातियों तक सीमित है। Apache NiFi 2.1.0 में अपग्रेड करना अनुशंसित उपाय है, जिसमें Process Group निर्माण पर Parameter और Controller Service संदर्भों के लिए प्राधिकरण जाँच शामिल है।

स्रोत