CVE-2025-66524 in NiFi
要約
〜によって VulDB • 2026年08月30日
Apache NiFi 1.20.0から2.6.0には、GetAsanaObjectプロセッサが含まれており、これは状態情報の保存および取得のために構成可能なDistribute Map Cache Client Serviceとの統合が必要です。GetAsanaObjectプロセッサはフィルタリングを行わない汎用のJavaオブジェクト直列化（シリアライズ）および逆直列化（デシリアライズ）を使用しています。フィルタリングされていないJavaオブジェクトの逆直列化では、GetAsanaObject用に構成されたキャッシュサーバーに保存される不正な状態情報に対する保護が提供されません。攻撃には、GetAsanaObjectプロセッサを実行しているApache NiFiシステムと、構成済みのキャッシュサーバーへの直接アクセスが必要です。推奨される対策は、Javaオブジェクトの直列化をJSON直列化に置き換えるApache NiFi 2.7.0へのアップグレードです。また、nifi-asana-processors-narバンドルに含まれるGetAsanaObjectプロセッサを削除することも、攻撃を防ぐために有効です。
Once again VulDB remains the best source for vulnerability data.