CVE-2026-82561
ŚrednieCVSS 6.5Streszczenie
Apache NiFi w wersjach od 1.5.0 do 2.11.0 udostępnia metody REST API zastępujące całą zawartość Process Group na podstawie definicji przepływu dostarczonej przez klienta. Autoryzacja frameworku dla tych metod ograniczała się do uprawnień odczytu i zapisu na samej Process Group, w przeciwieństwie do asynchronicznych metod aktualizacji, które autoryzują również komponenty wewnątrz grupy oraz powiązane Controller Services, Parameter Contexts i Parameter Providers. W efekcie uwierzytelniony użytkownik z prawem zapisu mógł modyfikować lub usuwać komponenty w podrzędnych Process Groups objętych bardziej restrykcyjnymi politykami.
Ocena ryzyka
Użytkownik z prawem zapisu do Process Group może obejść polityki bezpieczeństwa komponentów i modyfikować lub usuwać chronione komponenty oraz wiązać je z nieautoryzowanymi Controller Services i Parameter Contexts. Wpływ ograniczony jest do zatrzymanych komponentów i dotyczy wyłącznie wdrożeń korzystających z polityk autoryzacji na poziomie komponentów.
Rekomendacja
Zaktualizuj Apache NiFi do wersji 2.12.0, która stosuje spójne rozwiązywanie referencji i autoryzację komponentów w metodach zastępowania Process Group oraz aktualizacji wersjonowanych przepływów.
Inne podatności w Apache NiFi
Zobacz wszystkie- CVE-2026-86089Niskie
Apache NiFi 2.11.0 udostępnia metody REST API do migracji zawartości wersjonowanej grupy procesów do Connectora, które autoryzują żądania wyłącznie względem docelowego Connectora, bez sprawdzania uprawnień do zaangażowanych grup procesów. Uwierzytelniony użytkownik z prawem odczytu Connectora może wyliczyć identyfikatory, nazwy i szczegóły rejestru przepływów grup procesów poza zakresem jego uprawnień, a użytkownik z prawem zapisu może zmigrować grupę procesów bez uprawnień do niej.
- CVE-2026-81866Niskie
Apache NiFi w wersjach od 2.9.0 do 2.11.0 udostępnia metody REST API aktualizacji i weryfikacji konfiguracji Connectora, które nie wymuszają sprawdzania autoryzacji dla Assets i Secrets wskazanych w proponowanej konfiguracji. Uwierzytelniony użytkownik uprawniony do modyfikacji Connectora, ale nie do odczytu powiązanego Parameter Providera, może zastosować wartości Secret z tego Parameter Providera; metody akceptują też identyfikatory Assetów bez weryfikacji przynależności do konfigurowanego Connectora.
- CVE-2026-70469Wysokie
Apache NiFi 2.11.0 wyłączył obsługę żądań HTTP z kodowaniem gzip dla REST API i odrzucał żądania zawierające standardowy nagłówek Content-Encoding wskazujący gzip. Filtr egzekwujący w frameworku nie sprawdzał jednak wielu wystąpień nagłówka Content-Encoding ani niestandardowych identyfikatorów kodowania gzip, co pozwalało złośliwemu klientowi wysyłać spreparowane żądania powodujące nadmierne zużycie pamięci.
- CVE-2017-5635Wysokie
W Apache NiFi przed wersją 0.7.2 oraz 1.x przed wersją 1.1.2, w środowisku klastrowym, jeśli żądanie anonimowego użytkownika jest replikowane do innego węzła, to tożsamość węzła źródłowego jest używana zamiast tożsamości 'anonimowego' użytkownika.
- CVE-2017-7667Wysokie
Apache NiFi w wersjach przed 0.7.4 oraz 1.x przed 1.3.0 nie ustawia nagłówka odpowiedzi, który informuje przeglądarki, aby zezwalały na osadzanie tylko z tego samego źródła.
- CVE-2026-68980Krytyczne
Apache NiFi w wersjach 2.0.0 do 2.10.0 umożliwia tworzenie, odczytywanie i usuwanie Assetów powiązanych z kontekstami parametrów przez REST API. Framework autoryzuje usuwanie Assetów na podstawie identyfikatora kontekstu parametru, ale nie weryfikuje, czy Asset faktycznie należy do tego kontekstu. Instalacje bez zróżnicowanych poziomów autoryzacji między kontekstami nie są podatne. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2026-68979Krytyczne
Apache NiFi w wersjach od 1.10.0 do 2.10.0 udostępnia metodę REST API do aktualizacji kontekstu parametrów, która nie wymusza sprawdzania autoryzacji na komponentach odwołujących się do wartości parametrów. Uwierzytelniony użytkownik upoważniony do modyfikacji kontekstu parametrów, ale nieupoważniony do komponentów odwołujących się, może zmienić wartości parametrów wpływające na te komponenty. W przypadku, gdy wartość parametru zawiera skryptowalną treść, aktualizacja parametru może prowadzić do wykonania kodu podczas automatycznej walidacji komponentu. Problem dotyczy tylko wdrożeń z politykami autoryzacji na poziomie komponentów. Zalecana jest aktualizacja do Apache NiFi 2.11.0.
- CVE-2017-5636Krytyczne
W Apache NiFi przed wersją 0.7.2 oraz 1.x przed wersją 1.1.2 w środowisku klastrowym, proces serializacji/deserializacji łańcucha proxy jest podatny na atak typu injection, który pozwala na podszycie się pod innego użytkownika za pomocą starannie skonstruowanej nazwy użytkownika.
- CVE-2026-68981Wysokie
Apache NiFi od wersji 1.5.0 do 2.10.0 obsługuje zakodowane gzip żądania HTTP dla REST API przy użyciu filtra kodowania Jersey. Framework egzekwował konfigurowalny maksymalny rozmiar żądania na skompresowanym ładunku, a nie na zdekompresowanym wyjściu, co pozwalało złośliwemu klientowi na wysyłanie spreparowanych żądań, które mogły zużywać nadmierne ilości pamięci.
- CVE-2026-62354Średnie
Obsługa autoryzacji dla żądań walidacji kontekstu parametru w Apache NiFi od wersji 1.10.0 do 2.10.0 pozwala klientom z dostępem do odczytu na przesyłanie proponowanych wartości parametrów. Proponowane wartości zastępują bieżącą konfigurację, umożliwiając użytkownikom z dostępem do odczytu wywoływanie predefiniowanych metod walidacji komponentów z alternatywnymi ustawieniami. Instalacje Apache NiFi, które nie implementują różnych poziomów autoryzacji dla przeglądania i modyfikowania konfiguracji kontekstu parametru, nie są podatne na tę lukę.
Oryginalny opis (angielski, źródło NVD)
Apache NiFi 1.5.0 through 2.11.0 provide REST API methods that replace the entire contents of a Process Group using a client-supplied flow definition, covering Process Group flow replacement together with versioned flow update and rebase operations. Framework authorization for these methods was limited to read and write privileges on the Process Group itself, unlike the corresponding asynchronous update request methods, which also authorize the components encapsulated in the Process Group along with referenced Controller Services, Parameter Contexts, and Parameter Providers. As a result of the missing authorization, an authenticated user with write access to a Process Group could supply a flow definition that modifies or removes components in descendant Process Groups protected by more restrictive access policies, and could bind components to Controller Services and Parameter Contexts without authorization for those referenced components. Existing verification checks limited the impact to stopped components, and the issue applies only to deployments that use component-level authorization policies, because the framework enforces write permissions as the security boundary. Upgrading to Apache NiFi 2.12.0 is the recommended mitigation, which applies consistent reference resolution and component authorization across Process Group replacement and versioned flow update methods