CVE-2023-40037：Apache NiFi 中 JDBC 和 JNDI 连接 URL 的验证不完整

Apache NiFi 1.21.0 至 1.23.0 在多个处理器和控制器服务中支持 JDBC 和 JNDI JMS 访问，其连接 URL 验证无法针对精心构造的输入提供充分保护。已通过身份验证并获得授权的用户可以使用自定义输入格式绕过连接 URL 验证。修复方案增强了连接 URL 验证，并引入了对其它相关属性的验证。建议升级到 Apache NiFi 1.23.1 以进行缓解。

供应商披露：

此漏洞的供应商披露和修复可在此处找到。

要求：

此漏洞需要：

• 有效的用户凭据

概念验证：

更多详细信息及利用过程可在此 PDF 中查看。