CVE-2025-66524
Təsvir
Apache NiFi 1.20.0-dan 2.6.0-a qədər olan versiyalarda, vəziyyət məlumatlarını saxlamaq və geri çağırmaq üçün konfiqurasiya edilə bilən Distribute Map Cache Client Service ilə inteqrasiya tələb edən GetAsanaObject Prosessoru mövcuddur. GetAsanaObject Prosessoru filtrasiya olmadan ümumi Java Object seriyallaşdırmasından və deseriyallaşdırmasından istifadə etmişdir. Filtrasiya olunmamış Java obyekti deseriyallaşdırılması, GetAsanaObject üçün konfiqurasiya edilmiş keş serverində saxlanılan xüsusi hazırlanmış vəziyyət məlumatlarına qarşı mühafizə təmin etmir. İstismar üçün GetAsanaObject Prosessoru ilə işləyən Apache NiFi sistemi və konfiqurasiya edilmiş keş serverinə birbaşa giriş tələb olunur. Tövsiyə olunan həll yolu Apache NiFi 2.7.0 versiyasına yeniləməkdir ki, bu da Java Object seriyallaşdırmasını JSON seriyallaşdırılması ilə əvəz edir. həmçinin nifi-asana-processors-nar paketində yerləşən GetAsanaObject Prosessorunun silinməsi də istismarın qarşısını alır.
Necə düzəltmək olar
- apache nifi2.7.0 və ya daha yeni versiya
- org.apache.nifi:nifi-asana-processors2.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache nifi | 1.20.0 ≤ v < 2.7.0, 2.7.0 | 2.7.0 |
| org.apache.nifi:nifi-asana-processorsMaven | 1.20.0 ≤ v < 2.7.0 | 2.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.