Apache NiFi CVE-2024-56512 が FIX：機密情報への不正アクセスなどの可能性

CVE-2024-56512: Apache NiFi Vulnerability Exposes Sensitive Data to Unauthorized Users

2024/12/29 SecurityOnline — Apache NiFi で新たに発見された脆弱性により、機密情報への不正アクセスなどが、攻撃者に許されるという可能性が生じている。広範に利用されるデータ処理および配信システム NiFi の、脆弱性 CVE-2024-56512 は、バージョン 1.10.0〜2.0.0 に影響を及ぼす。

世界中の何千もの組織で採用される NiFi は、セキュリティや観測性のための、さらには生成 AI などための、さまざまなデータ・パイプラインの自動化において活用されている。この脆弱性により、プラットフォームの承認チェックが損なわれ、攻撃者に対して機密データへのアクセスが許される可能性が生じている。

この脆弱性の原因となるのは、NiFi 内で新しい Process Groups を作成する際の、詳細の承認の不足である。この脆弱性を悪用する攻撃者は、以下の項目を達成し得る：

• Parameter Context への不正アクセス：特定のパラメータ値を参照しない状況であっても、攻撃者は Parameter Context にバインドすることで、機密性のないパラメータをダウンロードできる。
• 許可されていない Controller Services／ Parameter Providers の悪用：Controller Services／ Parameter Providers を参照する攻撃者は、認証の回避を達成し、それらのコンポーネントへのアクセスを得る。

この脆弱性の悪用は、Process Groups を作成する権限を持つ、認証済みユーザーに限定されているが、コンポーネント・ベースの認証ポリシーに依存している組織にとっては、大きなリスクとなる。この欠陥の悪用により、データ侵害／重要システムへの不正アクセス／重要なデータ・パイプラインの中断などが引き起こされる可能性が生じる。

すでに Apache NiFi チームは、バージョン 2.1.0 をリリースし、この脆弱性に対処している。ユーザーに対して強く推奨されるのは、この最新バージョンへの、速やかなアップグレードである。

発見された CVE-2024-56512 が浮き彫りにするのは、機密データと運用プロセスを管理するシステムにおける、堅牢な認証メカニズムの重要性である。Apache NiFi は、金融や医療から製造や政府にいたるまでの、各業界のデータ・パイプラインの強化で採用されているため、これらのワークフローのセキュリティを確保は、きわめて重要なものとなる。

Apache NiFi を使用している組織にとって必要なことは、推奨されるパッチを適用するだけではなく、より広範なセキュリティ体制を評価することである。定期的な更新／監査に加えて、厳格なアクセス制御などの、サイバー・セキュリティに対する積極的なアプローチを採用することで、今回のような脆弱性のリスクを軽減できるはずだ。

データ・パイプラインの脆弱性により、悪意の認証済みユーザーに対して、さまざまなアクティビティが許されてしまうとのことです。NiFi を、ご利用のチームは、十分に ご注意ください。よろしければ、Apache NiFi で検索を、ご参照ください。