CVE-2017-5636
KrytyczneStreszczenie
W Apache NiFi przed wersją 0.7.2 oraz 1.x przed wersją 1.1.2 w środowisku klastrowym, proces serializacji/deserializacji łańcucha proxy jest podatny na atak typu injection, który pozwala na podszycie się pod innego użytkownika za pomocą starannie skonstruowanej nazwy użytkownika.
Ocena ryzyka
Atakujący może uzyskać uprawnienia innego użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych i zasobów w klastrze.
Rekomendacja
Zaleca się aktualizację Apache NiFi do wersji 0.7.2 lub 1.1.2 oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
In Apache NiFi before 0.7.2 and 1.x before 1.1.2 in a cluster environment, the proxy chain serialization/deserialization is vulnerable to an injection attack where a carefully crafted username could impersonate another user and gain their permissions on a replicated request to another node.