CVE-2026-82561

Beschreibung

Apache NiFi 1.5.0 bis 2.11.0 bieten REST-API-Methoden, die den gesamten Inhalt einer Prozessgruppe unter Verwendung einer vom Kunden bereitgestellten Flussdefinition ersetzen und den Austausch von Prozessgruppenströmen zusammen mit versionierten Flussaktualisierungs- und Rebase-Operationen abdecken. Die Rahmenautorisierung für diese Methoden beschränkte sich auf das Lesen und Schreiben von Berechtigungen in der Prozessgruppe selbst, im Gegensatz zu den entsprechenden asynchronen Aktualisierungsanfragemethoden, die auch die in der Prozessgruppe gekapselten Komponenten zusammen mit den referenzierten Controllerdiensten, Parameterkontexten und Parameteranbietern autorisieren. Aufgrund der fehlenden Autorisierung kann ein authentifizierter Benutzer mit Schreibzugriff auf eine Prozessgruppe eine Flussdefinition bereitstellen, die Komponenten in absteigenden Prozessgruppen, die durch restriktivere Zugriffsrichtlinien geschützt sind, modifiziert oder entfernt, und Komponenten ohne Autorisierung für diese referenzierten Komponenten an Controllerdienste und Parameterkontexte binden kann. Bestehende Verifizierungsprüfungen beschränkten die Auswirkungen auf gestoppte Komponenten, und das Problem gilt nur für Bereitstellungen, die Autorisierungsrichtlinien auf Komponentenebene verwenden, da das Framework Schreibberechtigungen als Sicherheitsgrenze erzwingt. Ein Upgrade auf Apache NiFi 2.12.0 ist die empfohlene Minderung, die eine konsistente Referenzauflösung und Komponentenautorisierung für Prozessgruppenersatz- und versionierte Flussaktualisierungsmethoden anwendet

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation nifi.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.