Hussein Awala

**Nome do software vulnerável e versões afetadas** Versões do Apache Airflow anteriores à 2.8.1 **Descrição** O problema está relacionado ao mecanismo de desserialização no Apache Airflow, permitindo que um possível invasor corrompa os dados XCom ao contornar a proteção da configuração `enable xcom pickling=False`, resultando em dados corrompidos após a desserialização XCom. Este problema é considerado de baixa gravidade, pois requer que um autor de DAG o explore. **Recomendações** Para resolver a vulnerabilidade, recomenda-se que os usuários atualizem para a versão 2.8.1 ou posterior, que corrige essa vulnerabilidade. Como solução alternativa temporária, considere desativar a configuração `enable xcom pickling` até que um patch esteja disponível. Restrinja o acesso aos dados XCom para minimizar o risco de exploração. Evite usar a configuração `enable xcom pickling=False` nos pontos de extremidade da API afetados até que a vulnerabilidade seja resolvida.

**Nome do software vulnerável e versões afetadas** Versões do Airflow 5.2.0 a 6.x Versões do Airflow 2.3.0 a 2.6.0 **Descrição** O worker do Airflow serializa um arquivo de configuração do Kubernetes como um dicionário e o envia ao triggerer, armazenando-o nos metadados sem qualquer criptografia ao usar o modo deferrable. Isso permite que qualquer pessoa com acesso aos metadados ou ao log do acionador obtenha o arquivo de configuração e o utilize para acessar o cluster do Kubernetes. O dicionário de configuração será registrado como texto simples no serviço do acionador, sem mascaramento, nas versões do Airflow entre 2.3.0 e 2.6.0. **Recomendações** Para as versões do Airflow 5.2.0 a 6.x, atualize para a versão 7.0.0 para corrigir o problema. Para as versões do Airflow 2.3.0 a 2.6.0, atualize para a versão 7.0.0 para corrigir o problema e impedir o registro do dicionário de configuração em texto simples. Como solução alternativa temporária, considere restringir o acesso aos metadados e aos logs do acionador para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** Apache Airflow versions prior to 2.7.3 **Description** The issue is related to insufficient protection of internal data in Apache Airflow, allowing an authorized user with limited access to read specific DAGs to also read information about task instances in other DAGs. This can lead to unauthorized access to protected information. **Recommendations** For Apache Airflow versions prior to 2.7.3, upgrade to version 2.7.3 or newer to mitigate the risk associated with this issue.

**Name of the Vulnerable Software and Affected Versions** Apache Airflow versions 2.7.0 through 2.7.1 **Description** The issue allows an authenticated user to retrieve sensitive configuration information when the `expose config` option is set to "non-sensitive-only". The `expose config` option is False by default. Approximately 39,118 devices may be affected. **Recommendations** For Apache Airflow versions 2.7.0 and 2.7.1, it is recommended to upgrade to a version that is not affected. As a temporary workaround, consider setting the `expose config` option to False to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Apache Airflow versions prior to 2.7.2 **Description** The issue allows authenticated users of Airflow to list warnings for all DAGs, even if the user had no permission to see those DAGs, revealing the `dag ids` and the stack-traces of import errors for those DAGs with import errors. **Recommendations** For Apache Airflow versions prior to 2.7.2, upgrade to version 2.7.2 or newer to mitigate the risk associated with this issue.