CVE-2024-56512

Resumo

Apache NiFi 1.10.0 até 2.0.0 não possuem verificação de autorização granular para Contextos de Parâmetros, Serviços de Controlador referenciados e Provedores de Parâmetros referenciados, ao criar novos Grupos de Processos. A criação de um novo Grupo de Processos pode incluir a vinculação a um Contexto de Parâmetros, mas nos casos em que o Grupo de Processos não referenciou nenhum valor de Parâmetro, o framework não verificou a autorização do usuário para o Contexto de Parâmetros vinculado. A ausência de autorização para um Contexto de Parâmetros vinculado permitiu que clientes baixassem valores de Parâmetros não sensíveis após criar o Grupo de Processos. A criação de um novo Grupo de Processos também pode incluir a referência a Serviços de Controlador ou Provedores de Parâmetros existentes. O framework não verificou a autorização do usuário para Serviços de Controlador ou Provedores de Parâmetros referenciados, permitindo que clientes criassem Grupos de Processos e usassem esses componentes que, de outra forma, não eram autorizados. Esta vulnerabilidade é limitada em escopo a usuários autenticados autorizados a criar Grupos de Processos. O escopo é ainda mais limitado a implantações com políticas de autorização baseadas em componentes. A atualização para Apache NiFi 2.1.0 é a mitigação recomendada, que inclui verificação de autorização para referências de Parâmetros e Serviços de Controlador na criação de Grupos de Processos.

• CVE-2024-56512-Apache-NiFi-ExploitExploit

  Uma ferramenta para explorar a vulnerabilidade CVE-2024-56512 no Apache NiFi, que permite acesso não autorizado a dados sensíveis por meio de APIs protegidas de forma inadequada.