CVE-2022-33140
Təsvir
Apache NiFi 1.10.0-dan 1.16.2-dək və Apache NiFi Registry 0.6.0-dan 1.16.2-dək versiyalarda opsional olan ShellUserGroupProvider qrup təyin etmə əmrləri üçün arqumentləri neytrallaşdırmır, bu da Linux və macOS platformalarında əməliyyat sistemi əmrlərinin inyeksiyasına imkan verir. ShellUserGroupProvider standart konfiqurasiyaya daxil edilməyib. Əmr inyeksiyası üçün ShellUserGroupProvider-in Authorizers konfiqurasiyasında aktivləşdirilmiş User Group Provider-lardan biri olması tələb olunur. Əmr inyeksiyası həmçinin yüksəlmiş imtiyazlara malik autentifikasiya olunmuş istifadəçi tələb edir. Apache NiFi-da əmrin icra edilməsi üçün giriş siyasətlərini dəyişmək səlahiyyəti olan autentifikasiya olunmuş istifadəçi lazımdır. Apache NiFi Registry-də əmrin icrası üçün istifadəçi qruplarını oxumaq səlahiyyəti olan autentifikasiya olunmuş istifadəçi tələb olunur. Həll yolu istifadəçi tərəfindən təmin edilən arqumentlərə əsaslanan əmr formatlamasını aradan qaldırır.
Necə düzəltmək olar
- org.apache.nifi.registry:nifi-registry-core1.16.3 və ya daha yeni versiya
- org.apache.nifi:nifi1.16.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache nifi | 1.10.0 ≤ v ≤ 1.16.2 | — |
| apache nifi_registry | 0.6.0 ≤ v ≤ 1.16.2 | — |
| org.apache.nifi.registry:nifi-registry-coreMaven | 0.6.0 ≤ v < 1.16.3 | 1.16.3 |
| org.apache.nifi:nifiMaven | 1.10.0 ≤ v < 1.16.3 | 1.16.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.