PT-2025-11109 · Apache · Apache Nifi

Robert Creese · Publicado 2025-03-11 · Atualizado 2025-07-16 · CVE-2025-27017

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/S:P/AU:Y/R:U/V:C/RE:L/U:Green

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache NiFi de 1.13.0 a 2.2.0

Descrição: O problema refere-se à inclusão de credenciais de autenticação sensíveis, especificamente o username e password utilizados para conectar ao MongoDB, nos eventos de proveniência do NiFi gerados pelos componentes do MongoDB durante o processamento. Um usuário autorizado com acesso de leitura a esses eventos pode conseguir visualizar as credenciais.

Recomendações: Para as versões do Apache NiFi de 1.13.0 a 2.2.0, atualize para o Apache NiFi 2.3.0 para remover as credenciais dos registros de eventos de proveniência.

Correção

Enumeração de Fraquezas

CWE-538

Identificadores relacionados

BDU:2025-02796

CVE-2025-27017

GHSA-35GQ-CVRM-XF94

Produtos afetados

Apache Nifi

Referências · 21

• https://github.com/apache/nifi · Nota
• https://github.com/apache/nifi/commit/48d684500f6ad70f65bfd510db054590c5bc74a9 · Nota
• https://twitter.com/the_yellow_fall/status/1900004081382678865 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-35gq-cvrm-xf94 · Aviso do Fabricante
• https://t.me/cvenotify/129170 · Publicação no Telegram
• https://twitter.com/TweetThreatNews/status/1900138396812550465 · Publicação no Twitter
• https://t.me/pentestingnews/57809 · Publicação no Telegram
• https://twitter.com/MalwarePatrol/status/1900652153397465092 · Publicação no Twitter
• https://t.me/cvedetector/20146 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1899894889799966876 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2025/03/11/1 · Nota
• https://t.me/cvetracker/19011 · Publicação no Telegram
• https://openwall.com/lists/oss-security/2025/03/11/1 · Nota
• https://reddit.com/r/pwnhub/comments/1jagmu5/apache_nifi_vulnerability_exposes_mongodb · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2025-27017 · Nota de Segurança