Apache NiFi fails to validate proxy host headers when constructing qualified URLs

Beschreibung

Apache NiFi 0.0.1 bis 2.9.0 unterstützt die Erstellung qualifizierter URLs aus einem von mehreren HTTP-Anfrage-Headern, die eine Alternative zum Standard-Host-Header bieten, ohne die angegebenen Werte zu validieren. Apache NiFi 1.6.0 führte eine konfigurierbare Anwendungseigenschaft ein, um die im HTTP-Host-Header bereitgestellten Werte einzuschränken, wandte die Validierung jedoch nicht auf alternative Proxy- und Forwarded-Header an. Das Fehlen einer Proxy-Host-Header-Validierung ermöglichte es einem Client, Apache NiFi-Webdienste anzuweisen, ungültige qualifizierte URLs für die Weiterleitung oder Datenreferenzen zu erstellen. Ein Upgrade auf Apache NiFi 2.10.0 ist die empfohlene Minderung, die die Validierung für die HTTP-Anfrage-Header X-ProxyHost und X-Forwarded-Host basierend auf der nifi.web.proxy.host-Eigenschaft implementiert. Die Aktivierung der Header-Validierung erfordert die Konfiguration der Anwendung mit HTTPS. Reverse-Proxy-Server vor Apache NiFi sind dafür verantwortlich, Eingabeanforderungs-Header zu filtern und zulässige Werte für die Anwendung bereitzustellen.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 2.10.0.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation org.apache.nifi:nifi-jetty.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.