CVE-2023-40037
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Apache NiFi w wersjach od 1.21.0 do 1.23.0 ma lukę w walidacji adresów URL połączeń JDBC i JNDI JMS, co pozwala uwierzytelnionym użytkownikom na obejście tej walidacji za pomocą niestandardowego formatowania wejścia.
Ocena ryzyka
Organizacja może być narażona na ataki, które wykorzystują lukę do nieautoryzowanego dostępu do systemów poprzez manipulację adresami URL połączeń.
Rekomendacja
Zaleca się aktualizację do Apache NiFi w wersji 1.23.1, aby poprawić walidację adresów URL połączeń oraz wprowadzić walidację dodatkowych powiązanych właściwości.
Oryginalny opis (angielski, źródło NVD)
Apache NiFi 1.21.0 through 1.23.0 support JDBC and JNDI JMS access in several Processors and Controller Services with connection URL validation that does not provide sufficient protection against crafted inputs. An authenticated and authorized user can bypass connection URL validation using custom input formatting. The resolution enhances connection URL validation and introduces validation for additional related properties. Upgrading to Apache NiFi 1.23.1 is the recommended mitigation.