PT-2020-13795 · Apache · Apache Airflow

Ali Al-Habsi + 1 · Publicado 2020-09-17 · Atualizado 2024-03-06 · CVE-2020-13944

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 1.10.12

Descrição

O problema diz respeito a uma exploração de tipo XSS no Apache Airflow. O parâmetro origin passado a determinados endpoints, como /trigger, está vulnerável a essa exploração.

Recomendações

Para versões anteriores à 1.10.12, atualize para a versão 1.10.12 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos endpoints vulneráveis, como /trigger, para minimizar o risco de exploração. Evite usar o parâmetro origin nos endpoints da API afetados até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-AIRFLOW-2020-13944

CVE-2020-13944

GHSA-4PWQ-FJ89-6RJC

PYSEC-2020-19

Produtos afetados

Apache Airflow

Referências · 35

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/commit/5c2bb7b0b0e717b11f093910b443243330ad93ca · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2020-19.yaml · Nota
• https://lists.apache.org/thread.html/r2892ef594dbbf54d0939b808626f52f7c2d1584f8aa1d81570847d2a@%3Cannounce.apache.org%3E · Nota
• https://t.me/cibsecurity/20181 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-airflow-2020-13944 · Aviso do Fabricante
• https://t.me/cibsecurity/20105 · Publicação no Telegram
• https://lists.apache.org/thread.html/r2892ef594dbbf54d0939b808626f52f7c2d1584f8aa1d81570847d2a%40%3Cdev.airflow.apache.org%3E · Nota
• https://github.com/advisories/GHSA-4pwq-fj89-6rjc · Nota
• http://openwall.com/lists/oss-security/2021/05/01/2 · Nota
• https://t.me/cibsecurity/20125 · Publicação no Telegram
• https://lists.apache.org/thread.html/r97e1b60ca508a86be58c43f405c0c8ff00ba467ba0bee68704ae7e3e%40%3Cdev.airflow.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-13944 · Aviso do Fabricante
• https://t.me/cibsecurity/20287 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-13944 · Nota de Segurança