Yusuf Aydin

**Nome do software vulnerável e versões afetadas** Versões do Apache Airflow anteriores à 2.8.2 **Descrição** O problema está relacionado a permissões padrão incorretas no Apache Airflow, permitindo que usuários autenticados dos grupos Ops e Viewers visualizem todas as informações dos registros de auditoria, incluindo nomes de DAGs e nomes de usuário que não tinham permissão para visualizar. A partir da versão 2.8.2, os usuários Ops e Viewer não têm permissão para acessar os logs de auditoria por padrão e precisam receber permissões explicitamente para visualizar os logs. Apenas usuários administradores têm permissão para acessar os logs de auditoria por padrão. **Recomendações** Para versões do Apache Airflow anteriores à 2.8.2, atualize para a versão 2.8.2 ou mais recente para mitigar o risco associado a este problema.

**Name of the Vulnerable Software and Affected Versions** Apache Airflow versions prior to 2.7.0 **Description** The issue is related to a session fixation vulnerability in the Airflow web interface, allowing an authenticated user to continue accessing the webserver even after their password has been reset by an admin. This vulnerability can be exploited by a remote attacker to hijack a user's session. When using the database session backend, existing sessions of the user are invalidated when the password is reset. However, when using the securecookie session backend, sessions are not invalidated and require changing the secure key and restarting the webserver. Users resetting their passwords are informed about this with a flash message warning in the UI. **Recommendations** Upgrade to Apache Airflow version 2.7.0 or newer to mitigate the risk associated with this issue. As a temporary workaround, consider manually cleaning the session database for the database session backend or changing the secure key and restarting the webserver for the securecookie session backend.