CVE-2026-86089

Beschreibung

Apache NiFi 2.11.0 unterstützt die Migration des Inhalts einer versionengesteuerten Prozessgruppe in einen Connector mit REST-API-Methoden, die berechtigte Migrationsquellen auflisten und Migrationsanforderungen übermitteln. Das Framework autorisierte beide Methoden allein gegen den Ziel-Connector, ohne den Zugriff auf die beteiligten Prozessgruppen zu bewerten. Das Fehlen der Prozessgruppenautorisierung ermöglichte es einem authentifizierten Benutzer mit Lesezugriff auf einen Connector, die Identifikatoren, Namen und Flussregistrierungsdetails von versiongesteuerten Prozessgruppen außerhalb des Umfangs der gewährten Leserichtlinien aufzuzählen. Es ermöglichte auch einem Benutzer mit Schreibzugriff auf einen Connector, eine Prozessgruppe ohne Schreibzugriff auf diese Prozessgruppe zu migrieren, die Flussdefinition, die referenzierten Assets und den Komponentenzustand in den Connector zu kopieren und die Quellprozessgruppe deaktiviert und umbenannt zu lassen. Die Migration schließt sensible Eigenschaftswerte aus und erfordert, dass die Quellprozessgruppe mit leeren Warteschlangen gestoppt wird, was den Umfang der Exposition begrenzt. Apache NiFi-Installationen, die keine Autorisierungsrichtlinien auf Komponentenebene für Prozessgruppen implementieren, unterliegen dieser Sicherheitsanfälligkeit nicht, da das Framework Connector-Schreibberechtigungen als Sicherheitsgrenze erzwingt. Ein Upgrade auf Apache NiFi 2.12.0 ist die empfohlene Minderung, die Migrationsquellen zu Prozessgruppen filtert, die der anfordernde Benutzer lesen darf, und beim Absenden einer Migrationsanforderung Schreibzugriff auf die Quellprozessgruppe erfordert.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation nifi.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.