Apache NiFi 1.20.0から2.6.0にはGetAsanaObjectプロセッサが含まれており、状態情報の保存や取得のために設定可能なDistribute Map Cache Client Serviceとの連携が必要です。GetAsanaObjectプロセッサは、フィルタリングなしの汎用Javaオブジェクトのシリアル化およびデシリアライズ処理を行っていました。フィルタされていないJavaオブジェクトのデシリアライズは、GetAsanaObject用に設定されたキャッシュサーバーに保存された巧妙に作成された状態情報に対して防御できません。悪用には、GetAsanaObjectプロセッサが動作するApache NiFiシステムと、設定されたキャッシュサーバーへの直接アクセスが必要です。推奨される対策としては、Apache NiFi 2.7.0へアップグレードすることで、Javaオブジェクトのシリアル化をJSONシリアル化に置き換えられます。また、nifi-asana-processors-narバンドルに含まれるGetAsanaObjectプロセッサを削除することで、悪用を防止できます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。