Apache NiFi RCE sérülékenység
A népszerű Apache NiFi adatfeldolgozó és integrációs eszközben kritikus sérülékenységet azonosítottak. A CVE-2026-25903 sérülékenység különösen veszélyes, mert nem igényel magas szintű jogosultságot, és interakció vagy bejelentkezés nélkül is kihasználható, ha a támadó hozzáférést kap az érintett NiFi webes felületéhez.
A sebezhetőség lényege, hogy a NiFi nem megfelelően ellenőrzi egyes paraméterek bemeneteit, így egy rosszindulatú HTTP-kérésben elhelyezett kódrészletet injektálni lehet a rendszer futtatási kontextusába. Ez RCE-hez vezethet, vagyis a támadó tetszőleges parancsokat futtathat a szerveren, amelyen az Apache NiFi üzemel. Mivel a NiFi gyakran része kritikus adatfeldolgozó láncoknak, egy ilyen kompromittálódás komoly adatvesztést, bizalmassági vagy integritási károkat okozhat, illetve további belső hálózati mozgást is lehetővé tehet.
A hiba már aktívan publikált exploitok formájában is elérhető, ezért a gyors javítás kulcsfontosságú. A szervezeteknek emellett ajánlott a NiFi adminisztratív felületének hálózati szinten történő korlátozása, tűzfalak és IP-fehérlistázás alkalmazása, illetve a NiFi-hez való hozzáférés HTTPS és erős hitelesítés mögé helyezése.
