漏洞信息
# Apache NiFi：潜在的代码注入，属性引用了远程资源
## 漏洞概述
Apache NiFi 在 0.0.2 至 1.22.0 版本中包含支持通过 HTTP URL 参考来检索驱动程序的处理器和控制器服务，这允许经过身份验证和授权的用户配置可以使自定义代码执行的位置。
## 影响版本
0.0.2 至 1.22.0
## 细节
该漏洞允许经过身份验证和授权的用户配置一个位置来执行自定义代码。修复方案引入了一个新的引用远程资源的权限要求，仅允许授权用户配置这些组件，防止未授权用户配置带有新引用远程资源限制的处理器和控制器服务。
## 影响
该漏洞可使经过身份验证的用户执行自定义代码。建议升级到 Apache NiFi 1.23.0 作为解决措施。
神龙判断
是否为 Web 类漏洞：
未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Apache NiFi: Potential Code Injection with Properties Referencing Remote Resources
漏洞描述信息
Apache NiFi 0.0.2 through 1.22.0 include Processors and Controller Services that support HTTP URL references for retrieving drivers, which allows an authenticated and authorized user to configure a location that enables custom code execution. The resolution introduces a new Required Permission for referencing remote resources, restricting configuration of these components to privileged users. The permission prevents unprivileged users from configuring Processors and Controller Services annotated with the new Reference Remote Resources restriction. Upgrading to Apache NiFi 1.23.0 is the recommended mitigation.
CVSS信息
N/A
漏洞类别
对生成代码的控制不恰当(代码注入)
漏洞标题
Apache NiFi 代码注入漏洞
漏洞描述信息
Apache NiFi是美国阿帕奇（Apache）基金会的一套数据处理和分发系统。该系统主要用于数据路由、转换和系统中介逻辑。 Apache NiFi 0.0.2至1.22.0版本存在代码注入漏洞，该漏洞源于存在代码注入漏洞。经过身份验证的攻击者可利用该漏洞配置启用自定义的位置并进行代码执行。
CVSS信息
N/A
漏洞类别
代码注入