Informazioni sul CVE-2022-33140

Improper Neutralization of Command Elements in Shell User Group Provider

CWE ID: CWE-78

Base Score (CVSS): N/A

CVE: CVE-2022-33140

Descrizione: The optional ShellUserGroupProvider in Apache NiFi 1.10.0 to 1.16.2 and Apache NiFi Registry 0.6.0 to 1.16.2 does not neutralize arguments for group resolution commands, allowing injection of operating system commands on Linux and macOS platforms. The ShellUserGroupProvider is not included in the default configuration. Command injection requires ShellUserGroupProvider to be one of the enabled User Group Providers in the Authorizers configuration. Command injection also requires an authenticated user with elevated privileges. Apache NiFi requires an authenticated user with authorization to modify access policies in order to execute the command. Apache NiFi Registry requires an authenticated user with authorization to read user groups in order to execute the command. The resolution removes command formatting based on user-provided arguments.

Vettore di attacco

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 0.0 (None)

Riassunto: .

Dettaglio del Vettore

Metrica Valore Significato Descrizione

Riferimenti esterni

Prodotti interessati

  • Apache Software Foundation – Apache NiFi
  • Apache Software Foundation – Apache NiFi Registry

Relazioni con altri prodotti

Produttore:Apache Software Foundation
Prodotto: Apache NiFi
Anno: 2022
CWE: CWE-78
CVSS: 0.0

Produttore:Apache Software Foundation
Prodotto: Apache NiFi Registry
Anno: 2022
CWE: CWE-78
CVSS: 0.0

Ulteriori risorse disponibili