CVE-2024-56512

Riepilogo

Apache NiFi 1.10.0 fino alla 2.0.0 non esegue controlli di autorizzazione granulari per i Parameter Context, i Controller Service referenziati e i Parameter Provider referenziati, quando vengono creati nuovi Process Group. La creazione di un nuovo Process Group può includere il binding a un Parameter Context, ma nei casi in cui il Process Group non faceva riferimento ad alcun valore di parametro, il framework non verificava l'autorizzazione dell'utente per il Parameter Context associato. La mancanza di autorizzazione per un Parameter Context associato consentiva ai client di scaricare valori di parametro non sensibili dopo la creazione del Process Group. La creazione di un nuovo Process Group può anche includere il riferimento a Controller Service o Parameter Provider esistenti. Il framework non verificava l'autorizzazione dell'utente per i Controller Service o i Parameter Provider referenziati, consentendo ai client di creare Process Group e utilizzare questi componenti che altrimenti non erano autorizzati. Questa vulnerabilità è limitata agli utenti autenticati autorizzati a creare Process Group. L'ambito è ulteriormente limitato alle distribuzioni con policy di autorizzazione basate sui componenti. L'aggiornamento ad Apache NiFi 2.1.0 è la mitigazione consigliata, che include il controllo delle autorizzazioni per i riferimenti a Parameter e Controller Service durante la creazione dei Process Group.

• CVE-2024-56512-Apache-NiFi-ExploitExploit

  Uno strumento per sfruttare la vulnerabilità CVE-2024-56512 in Apache NiFi, che consente l'accesso non autorizzato a dati sensibili tramite API non adeguatamente protette.