Podatności Apache Airflow

Od wersji 5.2.0, przy użyciu trybu odroczonego z plikiem konfiguracyjnym Kubernetes do uwierzytelniania, Airflow worker serializuje ten plik jako słownik i przechowuje go w metadanych bez szyfrowania. W wersjach 2.3.0-2.6.0 słownik jest dodatkowo logowany w postaci jawnego tekstu w usłudze triggerer. Pozwala to osobie z dostępem do metadanych lub logów na uzyskanie pliku konfiguracyjnego i dostęp do klastra Kubernetes.

Podatność na fikcję sesji pozwalała uwierzytelnionemu użytkownikowi na kontynuowanie dostępu do serwera WWW Airflow, nawet po zresetowaniu hasła przez administratora, aż do wygaśnięcia sesji użytkownika. Wprowadzona poprawka unieważnia istniejące sesje użytkownika po zresetowaniu hasła, gdy używany jest backend sesji oparty na bazie danych.

Apache Airflow w wersjach przed 2.7.0 zawiera podatność, którą może wykorzystać uwierzytelniony użytkownik posiadający uprawnienia do edytowania połączeń. Umożliwia to dostęp do informacji o połączeniach oraz wykorzystanie funkcji testowania połączenia, co może prowadzić do stanu odmowy usługi (DoS) na serwerze.

Podatność w Apache Airflow umożliwia uwierzytelnionym użytkownikom ominięcie niektórych ograniczeń, co pozwala na wykonywanie kodu w kontekście serwera WWW oraz na dostęp do określonych DAG-ów, do których użytkownik normalnie nie ma dostępu. Funkcja 'Run Task' została uznana za niebezpieczną i usunięta w wersji 2.6.0.

Apache Airflow w wersjach przed 2.6.3 ma podatność, która pozwala uwierzytelnionemu użytkownikowi na wykorzystanie spreparowanego wejścia, co może spowodować zawieszenie bieżącego żądania.

Apache Airflow w wersjach przed 2.6.3 jest podatny na lukę, która umożliwia nieautoryzowany dostęp do DAG-a poprzez URL.

W Apache Airflow występuje podatność, która może ujawniać potencjalnie wrażliwe wartości użytkownikom w określonych sytuacjach. Problem ten dotyczy wersji od 2.5.0 do przed 2.6.2.