CVE-2023-41180
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Niepoprawna walidacja certyfikatów w InvokeHTTP w Apache NiFi MiNiFi C++ w wersjach 0.13 do 0.14 umożliwia pośrednikowi przedstawienie sfałszowanego certyfikatu podczas negocjacji TLS. Właściwość Disable Peer Verification została domyślnie wyłączona, co skutkuje brakiem weryfikacji przy użyciu HTTPS.
Ocena ryzyka
Organizacja jest narażona na ataki typu man-in-the-middle, co może prowadzić do przechwytywania danych lub wprowadzenia złośliwego oprogramowania.
Rekomendacja
Zaleca się ustawienie właściwości Disable Peer Verification na true w InvokeHTTP lub aktualizację do wersji MiNiFi C++ 0.15.0, aby przywrócić domyślne zachowanie.
Oryginalny opis (angielski, źródło NVD)
Incorrect certificate validation in InvokeHTTP on Apache NiFi MiNiFi C++ versions 0.13 to 0.14 allows an intermediary to present a forged certificate during TLS handshake negotation. The Disable Peer Verification property of InvokeHTTP was effectively flipped, disabling verification by default, when using HTTPS. Mitigation: Set the Disable Peer Verification property of InvokeHTTP to true when using MiNiFi C++ versions 0.13.0 or 0.14.0. Upgrading to MiNiFi C++ 0.15.0 corrects the default behavior.