漏洞预警 | Apache NiFi远程代码执行和反序列化漏洞

admin
admin
admin
140350
文章
117
评论
2023年6月14日18:07:03评论131 views字数 607阅读2分1秒阅读模式
0x00 漏洞编号

  • CVE-2023-34468

  • CVE-2023-34212

0x01 危险等级

  • 高危

0x02 漏洞概述

Apache NiFi是一个易于使用、强大、可靠的系统，用于处理和分发数据。它支持强大和可扩展的数据路由、转换和系统中介逻辑的有向图。

漏洞预警 | Apache NiFi远程代码执行和反序列化漏洞

0x03 漏洞详情

CVE-2023-34468
漏洞类型：远程代码执行
影响：执行恶意代码

简述：Apache NiFi中的DBCPConnectionPool和HikariCPConnectionPool控制器服务允许经过认证和授权的用户用H2驱动配置数据库URL，从而实现自定义代码执行。

CVE-2023-34212
漏洞类型：反序列化
影响：执行恶意代码
简述：Apache NiFi的JndiJmsConnectionFactoryProvider控制器服务可以让经过身份验证和授权的用户设置URL和库属性，这些属性会让ConsumeJMS和PublishJMS处理器用来从远端获取数据进行反序列化利用。

0x04 影响版本
CVE-2023-34468
  • 0.0.2 <= Apache NiFi <= 1.21.0
CVE-2023-34212
  • 1.8.0 <= Apache NiFi <= 1.21.0

0x05 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：
https://nifi.apache.org/



原文始发于微信公众号（浅安安全）：漏洞预警 | Apache NiFi远程代码执行和反序列化漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年6月14日18:07:03
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   漏洞预警 | Apache NiFi远程代码执行和反序列化漏洞https://cn-sec.com/archives/1806804.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息