CVE-2026-81866

Beschreibung

Apache NiFi 2.9.0 bis 2.11.0 bieten Connector-Konfigurationsaktualisierung und Verifizierung von REST-API-Methoden, die keine Autorisierungsprüfung für Assets und Secrets erzwingen, auf die in der vorgeschlagenen Konfiguration verwiesen wird. Das Aktualisieren oder Überprüfen eines Connector-Konfigurationsschritts kann Asset- und Secret-Referenzen anwenden, die Framework-Autorisierung war jedoch darauf beschränkt, Berechtigungen auf den Connector selbst zu schreiben. Aufgrund der fehlenden Autorisierung kann ein authentifizierter Benutzer, der berechtigt ist, einen Connector zu ändern, aber nicht berechtigt ist, einen referenzierten Parameteranbieter zu lesen, von diesem Parameteranbieter unterstützte Geheimwerte anwenden. Die gleichen Methoden akzeptierten auch Asset-Kennungen, ohne zu überprüfen, ob das Asset zum konfigurierten Connector gehörte. Apache NiFi-Installationen, die keine unterschiedlichen Autorisierungsebenen zwischen Connectors und Parameter Providern implementieren, unterliegen dieser Sicherheitsanfälligkeit nicht, da das Framework Schreibberechtigungen auf dem Connector als Sicherheitsgrenze erzwingt. Ein Upgrade auf Apache NiFi 2.12.0 ist die empfohlene Minderung, die den Lesezugriff auf referenzierte Parameteranbieter autorisiert und den Connector-Besitz von referenzierten Assets während der Konfigurationsaktualisierung und -überprüfung überprüft.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation nifi.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.