CVE-2026-68979 in NiFi
요약
\~에 의해 VulDB • 2026. 08. 03.
Apache NiFI 1.10.0부터 2.10.0까지의 버전은 매개변수 컨텍스트(Parameter Context) 업데이트를 위한 REST API 메서드를 제공하지만, 이 메서드는 매개변수 값을 참조하는 컴포넌트에 대한 권한 확인(authorization checking)을 강제하지 않습니다. 매개변수 컨텍스트를 업데이트하면 해당 값에 의존하는 컴포넌트의 동작에 영향을 미치는 매개변수 값이 변경될 수 있으나, 프레임워크의 권한 부여는 매개변수 컨텍스트 자체에 대한 읽기 및 쓰기 특권으로 제한되었습니다. 그 결과, 매개변수 컨텍스트 수정은 허용되었지만 참조 대상 컴포넌트에 대해서는 권한이 없는 인증된 사용자가 해당 컴포넌트에 영향을 미치는 매개변수 값을 변경할 수 있습니다. 매개변수 값에 실행 가능한 스크립트 내용이 포함된 배포 환경에서는, 참조하는 컴포넌트를 시작하지 않고도 자동 컴포넌트 검증 과정에서 코드 실행이 발생할 수 있는 위험이 있습니다. 기존 확인 절차로 인해 영향은 중지된 컴포넌트로 국한되었으며, 이 문제는 컴포넌트 수준 권한 정책(component-level authorization policies)을 사용하는 배포에서만 적용됩니다. 권장되는 완화 조치는 Apache NiFi 2.11.0으로 업그레이드하는 것으로, 이는 매개변수 컨텍스트 업데이트 메서드의 권한 부여를 다른 메서드와 일치시켜 영향받는 컴포넌트에 대한 권한 확인(authorization checking)을 추가합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.