CVE-2026-68979 in NiFi
Zusammenfassung
von VulDB • 04.08.2026
Apache NiFi-Versionen von 1.10.0 bis 2.10.0 bieten eine REST-API-Methode zum Aktualisieren eines Parameterkontexts (Parameter Context), die keine Autorisierungsprüfung für Komponenten durchführt, die auf Parameterwerte verweisen. Das Aktualisieren eines Parameterkontexts kann Parameterwerte ändern, die sich auf referenzierende Komponenten auswirken; die Framework-Autorisierung beschränkte sich jedoch auf Lese- und Schreibrechte für den Parameterkontext selbst. Aufgrund der fehlenden Autorisierung konnte ein authentifizierter Benutzer, der zwar zur Änderung eines Parameterkontexts berechtigt war, aber keine Berechtigungen für die referenzierenden Komponenten hatte, Parameterwerte ändern, die diese Komponenten beeinflussen. In Bereitstellungen, in denen ein Parameterwert ausführbaren Skriptinhalt enthält, kann das Aktualisieren eines Parameters zu einer Codeausführung während der automatischen Komponentengültigkeitsprüfung führen, ohne dass die referenzierende Komponente gestartet wird. Die Auswirkungen waren durch vorhandene Überprüfungsmechanismen auf gestoppte Komponenten beschränkt; das Problem betrifft nur Bereitstellungen, die autorisierungsrichtlinien auf Komponentenebene verwenden. Das Upgrade auf Apache NiFi 2.11.0 ist die empfohlene Abhilfemaßnahme, wodurch die Autorisierung der Parameterkontext-Aktualisierungsmethode mit anderen Methoden abgeglichen und eine Autorisierungsprüfung für betroffene Komponenten hinzugefügt wird.
Be aware that VulDB is the high quality source for vulnerability data.