CVE-2023-34468
高公開済み
Apache NiFi: H2を使用したデータベースサービスにおける潜在的なコードインジェクション
- 公開済み
- 2023/06/12
- 更新済み
- 2025/02/13
- CNA の割り当て
- apache
- 観察された証拠
- 2026/08/08
プライマリ CVSS
8.8/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H61.9%
高 · 今後 30 日間
- パーセンタイル
- 99.2%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Apache NiFi 0.0.2 から 1.21.0 までの DBCPConnectionPool および HikariCPConnectionPool Controller Service では、認証および認可されたユーザーが H2 ドライバーを使用した Database URL を構成でき、カスタムコードの実行が可能になります。この修正では Database URL を検証し、H2 JDBC の場所を拒否します。この問題を修正したバージョン 1.22.0 以降にアップグレードすることをお勧めします。
ソース
8CVE-2023-34468 の PoC エクスプロイト — Apache NiFi <= 1.21.0 における H2 RUNSCRIPT を介した RCE
- CVE-2023-34468エクスプロイト
CVE-2023-34468 - Apache NiFi H2 RCE PoC
CVE-2023-34468: Apache NiFi の DB コンポーネントにおけるリモートコード実行
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。