CVE-2024-56512

概要

Apache NiFi 1.10.0から2.0.0には、新しいプロセスグループを作成する際に、パラメータコンテキスト、参照先のコントローラサービス、および参照先のパラメータプロバイダーに対する詳細な認可チェックが欠如しています。新しいプロセスグループを作成する際にはパラメータコンテキストへのバインドが含まれることがありますが、プロセスグループがパラメータ値を一切参照しない場合、フレームワークはバインドされたパラメータコンテキストに対するユーザーの認可をチェックしませんでした。バインドされたパラメータコンテキストに対する認可の欠如により、クライアントはプロセスグループの作成後に非機密のパラメータ値をダウンロードできてしまいました。新しいプロセスグループの作成には、既存のコントローラサービスやパラメータプロバイダーへの参照も含まれる場合があります。フレームワークは参照先のコントローラサービスやパラメータプロバイダーに対するユーザーの認可をチェックしなかったため、クライアントはプロセスグループを作成し、それ以外では認可されていないこれらのコンポーネントを使用できてしまいました。この脆弱性の影響範囲は、プロセスグループの作成を認可された認証済みユーザーに限定されます。さらに、その影響範囲はコンポーネントベースの認可ポリシーを採用しているデプロイメントに限定されます。Apache NiFi 2.1.0へのアップグレードが推奨される緩和策であり、これにはプロセスグループ作成時のパラメータおよびコントローラサービス参照に対する認可チェックが含まれています。

• CVE-2024-56512-Apache-NiFi-Exploitエクスプロイト

  Apache NiFiのCVE-2024-56512 脆弱性を悪用するツール。不適切に保護されたAPIを介して機密データへの不正アクセスを可能にします。