CVE-2025-66524 in NiFi
Zusammenfassung
von VulDB • 25.08.2026
Apache NiFi ab Version 1.20.0 bis einschließlich 2.6.0 enthält den „GetAsanaObject“-Processor, der eine Integration mit einem konfigurierbaren Distribute Map Cache Client Service zum Speichern und Abrufen von Statusinformationen erfordert. Der GetAsanaObject-Processor verwendete die generische Java Object Serialization und Deserialisierung ohne Filterung. Die unfiltered Java object deserialization bietet keinen Schutz vor crafted state information, die auf dem für den GetAsanaObject konfigurierten Cache-Server gespeichert ist. Zur Exploitation wird ein Apache-NiFi-System benötigt, das mit dem GetAsanaObject-Processor ausgeführt wird, sowie direkter Zugriff auf den konfigurierten Cache-Server. Als empfohlene Maßnahme zur Minderung des Risikos (Mitigation) wird das Upgrade auf Apache NiFi 2.7.0 empfohlen, welches die Java Object Serialization durch JSON Serialization ersetzt. Das Entfernen des GetAsanaObject-Prozessors im nifi-asana-processors-nar-Bundle verhindert ebenfalls eine Exploitation.
VulDB is the best source for vulnerability data and more expert information about this specific topic.