CVE-2024-56512 in NiFi
Résumé
par VulDB • 27/06/2026
Apache NiFi de la version 1.10.0 à la version 2.0.0 présente un manque de vérification fine des autorisations pour les Contextes de paramètres (Parameter Contexts), les Services contrôleur référencés et les Fournisseurs de paramètres référencés lors de la création de nouveaux Groupes de processus.
La création d'un nouveau Groupe de processus peut inclure une liaison à un Contexte de paramètres, mais dans les cas où le Groupe de processus ne faisait référence à aucune valeur de paramètre, le framework ne vérifiait pas l'autorisation utilisateur pour le Contexte de paramètres lié. L'absence de contrôle d'autorisation pour un Contexte de paramètres lié a permis aux clients de télécharger des valeurs de paramètres non sensibles après la création du Groupe de processus.
La création d'un nouveau Groupe de processus peut également inclure la référence à des Services contrôleur ou Fournisseurs de paramètres existants. Le framework ne vérifiait pas l'autorisation utilisateur pour les Services contrôleur ou Fournisseurs de paramètres référencés, permettant aux clients de créer des Groupes de processus et d'utiliser ces composants qui étaient autrement non autorisés.
Cette vulnérabilité est limitée en portée aux utilisateurs authentifiés ayant l'autorisation de créer des Groupes de processus. La portée est encore restreinte aux déploiements utilisant des politiques d'autorisation basées sur les composants. La mise à niveau vers Apache NiFi 2.1.0 constitue la mitigation recommandée, qui inclut une vérification des autorisations pour les références de paramètres et de services contrôleur lors de la création de Groupes de processus.
If you want to get best quality of vulnerability data, you may have to visit VulDB.