CVE-2022-29265
Açıklama
Apache NiFi 0.0.1 ile 1.16.0 arasındaki birden fazla bileşen, varsayılan yapılandırmada XML External Entity referanslarını kısıtlamamaktadır. Standard Content Viewer servisi, biçimlendirilmiş XML dosyalarını görüntülerken XML External Entity referanslarını çözümlemeye çalışır. Aşağıdaki Processor'lar, varsayılan özellik değerleriyle yapılandırıldıklarında XML External Entity referanslarını çözümlemeye çalışır: - EvaluateXPath - EvaluateXQuery - ValidateXml. Bu Processor'ları içeren Apache NiFi akış yapılandırmaları, XML External Entity referansları içeren Belge Tipi Bildirimleri (Document Type Declarations) barındıran kötü amaçlı XML belgelerine karşı savunmasızdır. Çözüm, bu Processor'lar için varsayılan yapılandırmadaki Belge Tipi Bildirimlerini devre dışı bırakır ve standart servislerde XML External Entity çözümlemesine izin vermez.
Nasıl düzeltilir
- org.apache.nifi:nifi1.16.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache nifi | 0.0.1 ≤ v ≤ 1.16.0 | — |
| org.apache.nifi:nifiMaven | 0.0.1 ≤ v < 1.16.1 | 1.16.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.