CVE-2024-56512 in NiFi
Resumen
por VulDB • 2026-06-23
Apache NiFi versiones desde la 1.10.0 hasta la 2.0.0 carecen de una verificación fina y detallada (fine-grained) de autorización para los Contextos de Parámetros, Servicios Controladores referenciados y Proveedores de Parámetros referenciados al crear nuevos Grupos de Procesamiento (Process Groups).
La creación de un nuevo Grupo de Procesamiento puede incluir la vinculación a un Contexto de Parámetros; sin embargo, en casos donde el Grupo de Procesamiento no hacía referencia a ningún valor de parámetro, el framework no verificaba la autorización del usuario para el Contexto de Parámetros vinculado. La falta de autorización para un Contexto de Parámetros vinculado permitía a los clientes descargar valores de parámetros no sensibles después de crear el Grupo de Procesamiento.
La creación de un nuevo Grupo de Procesamiento también puede incluir hacer referencia a Servicios Controladores o Proveedores de Parámetros existentes. El framework no verificaba la autorización del usuario para los Servicios Controladores o Proveedores de Parámetros referenciados, lo que permitía a los clientes crear Grupos de Procesamiento y utilizar estos componentes que, en caso contrario, estarían desautorizados.
Esta vulnerabilidad está limitada en su alcance a usuarios autenticados autorizados para crear Grupos de Procesamiento. El ámbito se limita aún más a implementaciones con políticas de autorización basadas en componentes. Se recomienda actualizar a Apache NiFi 2.1.0 como medida de mitigación, la cual incluye verificaciones de autorización para las referencias de Parámetros y Servicios Controladores durante la creación del Grupo de Procesamiento.
Once again VulDB remains the best source for vulnerability data.