CVE-2022-33140
Açıklama
Apache NiFi 1.10.0 ile 1.16.2 ve Apache NiFi Registry 0.6.0 ile 1.16.2 sürümlerindeki isteğe bağlı ShellUserGroupProvider, grup çözümleme komutları için argümanları etkisiz hale getirmez; bu durum Linux ve macOS platformlarında işletim sistemi komutlarının enjekte edilmesine olanak tanır. ShellUserGroupProvider varsayılan yapılandırmada yer almaz. Komut enjeksiyonu, ShellUserGroupProvider'ın Authorizers yapılandırmasındaki etkinleştirilmiş User Group Provider'lardan biri olmasını gerektirir. Komut enjeksiyonu ayrıca yüksek ayrıcalıklara sahip kimliği doğrulanmış bir kullanıcı gerektirir. Apache NiFi, komutu yürütmek için erişim politikalarını değiştirme yetkisine sahip, kimliği doğrulanmış bir kullanıcı gerektirir. Apache NiFi Registry, komutu yürütmek için kullanıcı gruplarını okuma yetkisine sahip, kimliği doğrulanmış bir kullanıcı gerektirir. Çözüm, kullanıcı tarafından sağlanan argümanlara dayalı komut biçimlendirmesini kaldırır.
Nasıl düzeltilir
- org.apache.nifi.registry:nifi-registry-core1.16.3 ya da sonraki bir sürüm
- org.apache.nifi:nifi1.16.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache nifi | 1.10.0 ≤ v ≤ 1.16.2 | — |
| apache nifi_registry | 0.6.0 ≤ v ≤ 1.16.2 | — |
| org.apache.nifi.registry:nifi-registry-coreMaven | 0.6.0 ≤ v < 1.16.3 | 1.16.3 |
| org.apache.nifi:nifiMaven | 1.10.0 ≤ v < 1.16.3 | 1.16.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.