中危 Apache NiFi activemq-client Library Deserialization 拒绝服务漏洞

CVE编号

CVE-2018-1310

利用情况

暂无

补丁情况

官方补丁

披露时间

2018-05-24

漏洞描述

Apache NiFi是美国阿帕奇（Apache）软件基金会的一套基于数据流的数据处理和分发系统。该系统支持数据路由指示图的配置和转换以及系统中介逻辑等。 Apache NiFi 0.1.0版本至1.5.0版本中存在安全漏洞。攻击者可利用该漏洞造成拒绝服务。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://nifi.apache.org/security.html

参考链接
https://nifi.apache.org/security.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	nifi	*		Up to (excluding) 1.6.0
	运行在以下环境
	系统	opensuse_Leap_42.3	kernel	*		Up to (excluding) 4.4.159-73.1
	运行在以下环境
	系统	ubuntu_14.04.6_lts	linux-aws	*		Up to (excluding) 4.4.0-1040.43
	运行在以下环境
	系统	ubuntu_16.04.7_lts	linux	*		Up to (excluding) 4.4.0-145.171
	运行在以下环境
	系统	ubuntu_18.04.5_lts	linux-azure	*		Up to (excluding) 4.18.0-1011.11~18.04.1
	运行在以下环境
	系统	ubuntu_18.10	linux	*		Up to (excluding) 4.18.0-9.10

阿里云评分 6.2

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 普通权限
• 影响范围 越权影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-502	可信数据的反序列化

Exp相关链接

- avd.aliyun.com