CVE-2020-9482

NiFi Registry, versões 0.1.0 a 0.5.0

O problema ocorre quando o NiFi Registry utiliza um mecanismo de autenticação diferente do PKI. Ao clicar em “Sair”, o NiFi Registry invalida o token de autenticação no lado do cliente, mas não consegue fazer o mesmo no lado do servidor. Isso permite que o token do lado do cliente do usuário seja utilizado por até 12 horas após o logout, possibilitando solicitações de API não autorizadas ao NiFi Registry.

Para as versões 0.1.0 a 0.5.0 do NiFi Registry, considere implementar um mecanismo de invalidação de token no lado do servidor para impedir o acesso não autorizado após o usuário sair da conta. Como solução alternativa temporária, restrinja as solicitações de API por um período de até 12 horas após o usuário sair da conta para minimizar o risco de exploração.