CVE-2023-34212
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 81 - wyżej niż 81% wszystkich znanych CVE
Streszczenie
Usługa kontrolera JndiJmsConnectionFactoryProvider oraz procesory ConsumeJMS i PublishJMS w Apache NiFi w wersjach od 1.8.0 do 1.21.0 pozwalają uwierzytelnionemu i autoryzowanemu użytkownikowi na konfigurację właściwości URL i biblioteki, co umożliwia deserializację nieufnych danych z zdalnej lokalizacji.
Ocena ryzyka
Możliwość deserializacji nieufnych danych może prowadzić do poważnych luk w bezpieczeństwie, w tym do zdalnego wykonania kodu, co stanowi zagrożenie dla integralności systemu.
Rekomendacja
Zaleca się aktualizację do wersji 1.22.0 lub nowszej, która rozwiązuje ten problem poprzez walidację URL JNDI i ograniczenie lokalizacji do zestawu dozwolonych schematów.
Oryginalny opis (angielski, źródło NVD)
The JndiJmsConnectionFactoryProvider Controller Service, along with the ConsumeJMS and PublishJMS Processors, in Apache NiFi 1.8.0 through 1.21.0 allow an authenticated and authorized user to configure URL and library properties that enable deserialization of untrusted data from a remote location. The resolution validates the JNDI URL and restricts locations to a set of allowed schemes. You are recommended to upgrade to version 1.22.0 or later which fixes this issue.