PT-2020-20696 · Apache · Apache Nifi

Publicado 2020-10-01 · Atualizado 2025-09-12 · CVE-2020-9486

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache NiFi de 1.10.0 a 1.11.4

Descrição

O problema diz respeito ao mecanismo de execução sem estado do NiFi, que gera saídas de log contendo valores de propriedades confidenciais. Quando um fluxo é acionado, a configuração JSON da definição do fluxo é exibida, podendo conter valores confidenciais em texto simples.

Recomendações

Para as versões 1.10.0 a 1.11.4 do Apache NiFi, considere desativar o registro do JSON de configuração da definição do fluxo para evitar que valores confidenciais sejam impressos em texto simples. Restrinja o acesso à saída de log para minimizar o risco de exposição de informações confidenciais.

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

BIT-NIFI-2020-9486

CVE-2020-9486

GHSA-G644-PR5V-VPPF

Produtos afetados

Apache Nifi

Referências · 8

• https://github.com/apache/nifi · Nota
• https://github.com/apache/nifi/commit/148537d64a017b73160b0d49943183c18f883ab0 · Nota
• https://osv.dev/vulnerability/CVE-2020-9486 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-9486 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-g644-pr5v-vppf · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-nifi-2020-9486 · Aviso do Fabricante
• https://nifi.apache.org/security#CVE-2020-9486 · Aviso do Fabricante
• https://t.me/cibsecurity/15005 · Publicação no Telegram