CVE-2024-56512 in NiFi
Riassunto
di VulDB • 27/06/2026
Apache NiFi dalle versioni 1.10.0 alla 2.0.0 non prevede controlli di autorizzazione granulari per i Contesti dei parametri (Parameter Contexts), i Servizi del controller referenziati e i Fornitori di parametri referenziati durante la creazione di nuovi Gruppi di processi (Process Groups).
La creazione di un nuovo Gruppo di processi può includere l'associazione a un Contesto dei parametri; tuttavia, nei casi in cui il Gruppo di processi non faceva riferimento ad alcun valore del parametro, il framework non verificava l'autorizzazione dell'utente per il Contesto dei parametri associato. La mancanza di autorizzazione per un Contesto dei parametri associato consentiva ai client di scaricare valori dei parametri non sensibili dopo la creazione del Gruppo di processi.
La creazione di un nuovo Gruppo di processi può anche includere il riferimento a Servizi del controller o Fornitori di parametri esistenti. Il framework non verificava l'autorizzazione dell'utente per i Servizi del controller o i Fornitori di parametri referenziati, consentendo ai client di creare Gruppi di processi e utilizzare questi componenti che altrimenti sarebbero stati non autorizzati.
Questa vulnerabilità è limitata nell'ambito agli utenti autenticati autorizzati a creare Gruppi di processi. L'ambito è ulteriormente limitato alle distribuzioni con politiche di autorizzazione basate sui componenti. Il recommended mitigation consiste nel passare ad Apache NiFi 2.1.0, che include i controlli di autorizzazione per i riferimenti ai parametri e ai Servizi del controller durante la creazione dei Gruppi di processi.
If you want to get best quality of vulnerability data, you may have to visit VulDB.