PT-2020-9308 · Apache · Apache Airflow

Venkat · Publicado 2020-01-14 · Atualizado 2020-05-06 · CVE-2019-12398

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 1.10.5

Descrição

Um usuário administrador mal-intencionado poderia alterar o estado de objetos no banco de dados de metadados do Airflow para executar código JavaScript arbitrário em determinadas visualizações de página ao utilizar a interface clássica. A nova interface RBAC não é afetada.

Recomendações

Para versões anteriores à 1.10.5, atualize para a versão 1.10.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à interface clássica até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-12398

GHSA-RJVG-Q57V-MJJC

PYSEC-2020-162

Produtos afetados

Apache Airflow

Referências · 12

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/blob/1.10.5/CHANGELOG.txt · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2020-162.yaml · Nota
• https://lists.apache.org/thread.html/r72487ad6b23d18689896962782f8c93032afe5c72a6bfd23b253352b%40%3Cusers.airflow.apache.org%3E · Aviso do Fabricante
• https://lists.apache.org/thread.html/r72487ad6b23d18689896962782f8c93032afe5c72a6bfd23b253352b@%3Cdev.airflow.apache.org%3E · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-12398 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-12398 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r72487ad6b23d18689896962782f8c93032afe5c72a6bfd23b253352b%40%3Cdev.airflow.apache.org%3E · Nota
• https://github.com/advisories/GHSA-rjvg-q57v-mjjc · Nota
• http://openwall.com/lists/oss-security/2020/01/14/2 · Nota
• https://osv.dev/vulnerability/PYSEC-2020-162 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rjvg-q57v-mjjc · Aviso do Fabricante