PT-2020-6687 · Apache · Apache Airflow

Junghan Lee · Publicado 2020-12-21 · Atualizado 2024-03-06 · CVE-2020-17526

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.3

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 1.10.14

Descrição

O problema está relacionado à validação incorreta de sessões no servidor web do Apache Airflow, causada pelo uso de uma configuração padrão que inclui uma secret key predefinida. Isso permite que um usuário mal-intencionado acesse um servidor web do Airflow não autorizado em um site diferente, utilizando uma sessão do site original. O problema decorre do uso de uma chave temporária no arquivo de configuração padrão airflow.cfg, que é o mesmo para todas as instalações. Como resultado, um cookie de sessão validado em um servidor Airflow também é válido para outro servidor.

Recomendações

Para versões do Apache Airflow anteriores à 1.10.14, altere o valor padrão da configuração [webserver] secret key para impedir o acesso não autorizado.

Como solução temporária, considere restringir o acesso ao servidor web do Airflow até que o problema seja resolvido.

Correção

Improper Authentication

Improper Privilege Management

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-287

CWE-269

CWE-798

Identificadores relacionados

BDU:2022-04640

BIT-AIRFLOW-2020-17526

CVE-2020-17526

GHSA-7MX5-X372-XH87

PYSEC-2020-22

Produtos afetados

Apache Airflow

Referências · 27

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/commit/a8900fa5f2b8963e9f57ba4ae5520a5d339aeaad · Nota
• https://github.com/apache/airflow/commit/2f3b1c780472afd4c8a93633e6633feb7083792e · Nota
• https://github.com/apache/airflow/commit/9e01476a50b9be27c4b1e6c6e24d36f290629195 · Nota
• https://github.com/apache/airflow/commit/6b065840323f9a4fc8e372b458d26e419e4fa99b · Nota
• https://github.com/apache/airflow/commit/97b2735d65e95c4633966667b6db3908540f3937 · Nota
• https://github.com/apache/airflow/commit/fe6d00a54f83468e296777d3b83b65a2ae7169ec · Nota
• https://github.com/apache/airflow/commit/dfa7b26ddaca80ee8fd9915ee9f6eac50fac77f6 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2020-22.yaml · Nota
• https://osv.dev/vulnerability/GHSA-7mx5-x372-xh87 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-04640 · Nota de Segurança
• https://t.me/cvenotify/7485 · Publicação no Telegram
• https://lists.apache.org/thread/rxn1y1f9fco3w983vk80ps6l32rzm6t0 · Nota
• https://osv.dev/vulnerability/BIT-airflow-2020-17526 · Aviso do Fabricante
• https://t.me/opennews/7870 · Publicação no Telegram