CVE-2024-56512

总结

Apache NiFi 1.10.0 至 2.0.0 在创建新的 Process Group 时，缺少对 Parameter Context、引用的 Controller Service 以及引用的 Parameter Provider 的细粒度授权检查。创建新的 Process Group 时可以绑定到某个 Parameter Context，但在 Process Group 未引用任何 Parameter 值的情况下，框架不会检查用户对已绑定 Parameter Context 的授权。缺少对已绑定 Parameter Context 的授权检查，使得客户端在创建 Process Group 后能够下载非敏感的 Parameter 值。创建新的 Process Group 时还可以引用现有的 Controller Service 或 Parameter Provider。框架不会检查用户对引用的 Controller Service 或 Parameter Provider 的授权，从而使客户端能够创建 Process Group 并使用这些原本未获授权的组件。此漏洞的范围仅限于被授权创建 Process Group 的已认证用户，且进一步仅限于部署了基于组件的授权策略的环境。建议升级至 Apache NiFi 2.1.0 作为缓解措施，该版本在创建 Process Group 时包含了对 Parameter 和 Controller Service 引用的授权检查。

• CVE-2024-56512-Apache-NiFi-Exploit漏洞利用

  一个用于利用 Apache NiFi 中 CVE-2024-56512 漏洞的工具，该漏洞允许通过未妥善保护的 API 未经授权访问敏感数据。