Apache NiFi 远程资源检索功能存在命令注入漏洞 CVE-2023-36542

漏洞描述：

Apache NiFi 是一个开源的数据流处理和自动化工具。Apache NiFi 1.23.0之前版本中包含使用 HTTP URL 进行远程资源检索的 Processors 和 Controller Services，但是未限制普通身份用户配置此功能。经过身份验证的攻击者可配置恶意的外部资源引用地址，当组件加载攻击者可控的恶意配置文件或附加库时触发远程代码执行。

影响范围：
org.apache.nifi:nifi-api[0.0.1-incubating, 1.23.0)
org.apache.nifi:nifi-nar-bundles[0.0.1-incubating, 1.23.0)

修复方案：
升级org.apache.nifi:nifi-api到1.23.0或更高版本
官方已发布补丁：https://github.com/apache/nifi/commit/cbee9f0558aa45f86d68677f762e9ddacc91fdd8
升级org.apache.nifi:nifi-nar-bundles到1.23.0或更高版本

参考链接：
https://issues.apache.org/jira/browse/NIFI-11744
https://github.com/apache/nifi/commit/cbee9f0558aa45f86d68677f762e9ddacc91fdd8

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Apache NiFi 远程资源检索功能存在命令注入漏洞 CVE-2023-36542