ช่องโหว่ใน Apache NiFi อาจเปิดเผยข้อมูล Credentials ของ MongoDB

พบช่องโหว่ด้านความปลอดภัยระดับ Critical ใน Apache NiFi ซึ่งเป็นเครื่องมือโอเพนซอร์ส data integration ที่ได้รับความนิยม

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2025-27017 สามารถทำให้ผู้ใช้งานที่ได้รับ authorized และมีสิทธิ์ Read Access สามารถดูข้อมูล Credentials ที่ใช้ในการเชื่อมต่อกับฐานข้อมูล MongoDB ได้

ช่องโหว่ด้านความปลอดภัยนี้มีผลกระทบต่อหลายเวอร์ชันของ Apache NiFi ส่งผลให้ผู้ใช้งานต้องดำเนินการแก้ไขโดยด่วนเพื่อป้องกันระบบของตน

รายละเอียดของช่องโหว่

ช่องโหว่ดังกล่าวทำให้ชื่อผู้ใช้งาน และรหัสผ่านของ MongoDB ถูกนำไปแสดงใน Events Generated ของ NiFi ที่ถูกสร้างขึ้นโดย MongoDB components

ซึ่งหมายความว่าใครก็ตามที่มีสิทธิ์เข้าถึง Event เหล่านี้สามารถดึงข้อมูล Credentials ออกมาได้ ซึ่งอาจนำไปสู่การเข้าถึงฐานข้อมูล MongoDB โดยไม่ได้รับอนุญาต

เวอร์ชันของ Apache NiFi ที่ได้รับผลกระทบมีดังนี้

• Affected Product : Apache NiFi
• Version Range : 1.13.0 to 2.2.0
• CVE : CVE-2025-27017

เพื่อลดผลกระทบจากช่องโหว่นี้ ผู้ใช้งานควรอัปเกรดเป็น Apache NiFi เวอร์ชัน 2.3.0 ซึ่งจะลบข้อมูล Credentials ที่มีความสำคัญออกจาก Provenance Event Records โดยเวอร์ชันนี้จะไม่ได้รับผลกระทบจากช่องโหว่นี้

การเปิดเผยข้อมูล Credentials ของ MongoDB อาจส่งผลกระทบอย่างรุนแรงต่อความปลอดภัยของข้อมูลได้ เนื่องจากการเข้าถึงฐานข้อมูลเหล่านี้โดยไม่ได้รับอนุญาตอาจนำไปสู่การรั่วไหลของข้อมูล, การดัดแปลงข้อมูล หรือกิจกรรมที่เป็นอันตรายอื่น ๆ ดังนั้นจึงเป็นเรื่องสำคัญที่ผู้ใช้งาน Apache NiFi เวอร์ชันที่ได้รับผลกระทบต้องดำเนินการอัปเกรดโดยทันที

คำแนะนำ

อัปเกรดเป็น Apache NiFi 2.3.0 : โดยเวอร์ชันล่าสุดของ Apache NiFi จะลบการเก็บข้อมูล Credentials ของ MongoDB ใน Provenance Records ซึ่งช่วยลดความเสี่ยงที่เกิดจากช่องโหว่นี้

ตรวจสอบการเข้าถึงระบบ : ตรวจสอบให้แน่ใจว่ามีเฉพาะบุคคลที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึง Provenance Events เพื่อช่วยลดการเปิดเผยข้อมูล Credentials ที่อาจเกิดขึ้น

โดยช่องโหว่นี้ถูกพบโดย Robert Creese และเป็นผู้รายงานช่องโหว่ที่มีความรุนแรงระดับ Critical ดังกล่าว

ที่มา : gbhackers