PT-2025-52439 · Apache · Nifi-Asana-Processors-Nar+2

Jaeyeong Lee · Publicado 2025-12-19 · Atualizado 2026-01-08 · CVE-2025-66524

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Apache NiFi de 1.20.0 a 2.6.0

Descrição O processador GetAsanaObject no Apache NiFi utiliza um Serviço de Cliente de Cache de Mapa Distribuído para gerenciamento de estado. Este processador emprega serialização e desserialização de objetos Java sem filtragem adequada, criando um potencial de exploração por meio de informações de estado manipuladas armazenadas no servidor de cache. A exploração bem-sucedida requer acesso ao servidor de cache configurado e a um sistema Apache NiFi executando o processador GetAsanaObject.

Recomendações Atualize para o Apache NiFi versão 2.7.0, que substitui a serialização de objetos Java pela serialização JSON. Remova o processador GetAsanaObject localizado no pacote nifi-asana-processors-nar.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BIT-NIFI-2025-66524

CVE-2025-66524

GHSA-V4P2-2W39-MHRJ

Produtos afetados

Apache Nifi

Getasanaobject Processor

Nifi-Asana-Processors-Nar

Referências · 14

• https://reddit.com/r/VulnMatter/comments/1pt1cm5/resumen_diario_de_vulnerabilidades_22122025 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1pw544r/resumen_diario_de_vulnerabilidades_26122025 · Publicação no Reddit
• https://t.me/cveNotify/146313 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2002099165090947270 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1pttxj6/resumen_diario_de_vulnerabilidades_23122025 · Publicação no Reddit
• https://twitter.com/07finder/status/2001925921067143376 · Publicação no Twitter
• https://lists.apache.org/thread/k9h004ydjg7opdvxr0nfywtzf33z60d7 · Aviso do Fabricante
• https://twitter.com/oss_security/status/2004419585488179464 · Publicação no Twitter
• https://t.me/cveNotify/148089 · Publicação no Telegram
• https://twitter.com/offseq/status/2001956490920288283 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-66524 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-66524 · Aviso do Fabricante
• https://t.me/CVEtracker/40263 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2025/12/18/2 · Nota