Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Apache NiFi (CVE-2018-17195)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-319 Transmisión de información sensible en texto claro
Fecha de publicación:
19/12/2018
Última modificación:
24/08/2020

Descripción

El endpoint de la API de subida de plantillas aceptaba peticiones de diferentes dominios al enviarse junto con un ataque de suplantación de ARP y otro Man-in-the-Middle (MitM), lo que resulta en un ataque Cross-Site Request Forgery (CSRF). El vector de ataque requerido es complejo y requiere un escenario con autenticación de certificados del cliente, acceso a la misma subred y la inyección de código malicioso en un sitio web sin proteger (HTTP en texto plano) que el usuario objetivo visita posteriormente, pero el posible daño garantizaba un nivel de severidad "Severo". Mitigación: La solución para aplicar la el filtrado de peticiones de la política CORS (Cross-Origin Resource Sharing) se aplicó en la versión 1.8.0 de Apache NiFi. Los usuarios que ejecuten una distribución 1.x anterior deben actualizarla a la distribución adecuada.

Impacto

Vector 3.x
CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Vector 2.0
AV:N/AC:H/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.10 MEDIA
Vector: AV:N/AC:H/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico

Puntuación base 2.0
5.10
Gravedad 2.0
MEDIA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:nifi:*:*:*:*:*:*:*:* 1.0.0 (incluyendo) 1.7.1 (incluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información