文章总结： ApacheNiFi发布四个漏洞修复公告，影响版本1.5.0至2.10.0，建议升级至2.11.0。漏洞包括权限绕过CVE-2026-62354、内存耗尽CVE-2026-68981、权限蔓延CVE-2026-68979和资产误删CVE-2026-68980。升级后需检查参数上下文权限策略并排查含脚本的参数值。 综合评分： 81 文章分类： 漏洞分析,安全建设

Apache NiFi 连爆四漏洞，权限失控与内存炸弹问题亟待修复

看雪学苑 看雪学苑

看雪学苑

2026年8月4日 17:59 上海

在小说阅读器读本章

去阅读

近日，Apache NiFi 项目组一次性发布了四个安全漏洞的修复公告，涉及权限校验绕过、参数验证滥用以及内存耗尽型拒绝服务攻击。所有漏洞均在 2.11.0 版本中完成修复，官方呼吁用户尽快升级。

这四枚漏洞分别瞄准了 NiFi 的核心参数管理机制和 Web API 接口，攻击面广，影响版本跨度从 1.5.0 一直延伸到 2.10.0。

1

高危风险一：只读用户竟能“偷改”配置（CVE-2026-62354）

影响版本：1.10.0 – 2.10.0

严重程度：高危

该漏洞存在于参数上下文的验证请求中。原本只拥有“只读”权限的用户，竟然可以在提交验证请求时夹带“私货”——即自定义的参数值。系统在验证过程中会临时采用这些外部传入的值，从而覆盖掉当前正在使用的配置。

这就好比给了访客一张“参观证”，结果访客却能顺手修改工厂流水线的工艺参数。攻击者虽然不能直接写入配置，但可以通过反复验证摸清系统反应，甚至让验证逻辑跑出预期结果。从 2.11.0 开始，提交验证请求必须拥有写入权限。

2

高危风险二：小压缩包制造“内存黑洞”（CVE-2026-68981）

影响版本：1.5.0 – 2.10.0

严重程度：高危

这是一个典型的“放大器”攻击。NiFi 的 REST API 原本会限制请求体的大小，但限制只针对压缩前的体积，而非解压后的真实数据量。

攻击者只需发送一个很小的 gzip 压缩包，解压后却可能膨胀数千倍，瞬间占满服务器内存，导致服务响应缓慢甚至直接崩溃。这类似于传说中的“Zip Bomb”攻击在 API 场景下的翻版。新版本在 Jetty 服务端层面处理压缩逻辑，并关闭了对 gzip 请求的解压支持，从源头堵住了这一风险。

3

中危隐患：改一个参数，动全局组件（CVE-2026-68979）

影响版本：1.10.0 – 2.10.0

严重程度：中危

这是一个权限蔓延问题。当用户被允许修改某个参数上下文中的值时，NiFi 并未向下校验那些引用该参数的组件是否也属于该用户的管辖范围。

这就导致了一种“越权操作”：你可以修改一个不属于你管理范围的处理器里的参数值。更危险的是，如果该参数恰巧包含一段可执行脚本，且该组件处于停止状态，系统在自动验证时可能会触发脚本执行。官方强调该场景利用条件较为苛刻，但仍建议立即修复。2.11.0 已补全针对所有引用组件的鉴权逻辑。

4

低危但需警惕：删错资产的“乌龙指”（CVE-2026-68980）

影响版本：2.0.0 – 2.10.0

严重程度：低危

在资产删除操作中，API 仅校验了用户提供的参数上下文 ID 是否合法，却没有核实待删除的资产是否真的属于该上下文。在启用了细粒度权限策略的多租户环境中，这可能导致用户误删其他上下文中的资产。新版本已增加所有权确认步骤，防止“张冠李戴”。

5

安全建议

如果您正在使用 Apache NiFi 1.5.0 至 2.10.0 之间的任意版本，请立即将部署升级至 2.11.0。

升级后，请同步检查参数上下文的读写权限策略，并重点排查含有脚本内容的参数值，尤其是那些关联到停止组件的参数。

资讯来源：cybersecuritynews

球分享

球点赞

球在看

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：看雪学苑 看雪学苑 看雪学苑《Apache NiFi 连爆四漏洞，权限失控与内存炸弹问题亟待修复》