PT-2021-17037 · Apache · Apache Airflow

Ian Carroll · Publicado 2021-02-17 · Atualizado 2024-03-06 · CVE-2021-26559

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Apache Airflow versão 2.0.0

Descrição

O problema está relacionado a um controle de acesso inadequado no endpoint de configurações da API estável do Apache Airflow. Isso permite que usuários com a função de Visualizador ou Usuário obtenham configurações do Airflow, incluindo informações confidenciais, mesmo quando o [webserver] expose config está definido como False no airflow.cfg. Essa vulnerabilidade possibilitou um ataque de escalonamento de privilégios.

Recomendações

Para o Apache Airflow versão 2.0.0, considere restringir o acesso ao endpoint de configurações para impedir que usuários não autorizados obtenham informações confidenciais até que um patch esteja disponível. Como solução alternativa temporária, revise e ajuste a configuração [webserver] expose config no airflow.cfg para garantir que esteja configurada corretamente para restringir o acesso a configurações confidenciais.

Correção

Improper Access Control

Improper Privilege Management

Enumeração de Fraquezas

CWE-284

CWE-269

Identificadores relacionados

BIT-AIRFLOW-2021-26559

CVE-2021-26559

GHSA-FFW3-6MP6-JMVJ

PYSEC-2021-2

Produtos afetados

Apache Airflow

Referências · 17

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/commit/5e35926c7eda0dfa11a9623e4bf5f60c2bd6b3f6 · Nota
• https://github.com/apache/airflow/commit/3909232fafd09ac72b49010ecdfd6ea48f06d5cf · Nota
• https://github.com/apache/airflow/blob/486b76438c0679682cf98cb88ed39c4b161cbcc8/CHANGELOG.txt · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2021-2.yaml · Nota
• https://lists.apache.org/thread.html/r3b3787700279ec361308cbefb7c2cce2acb26891a12ce864e4a13c8d%40%3Cusers.airflow.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-airflow-2021-26559 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-26559 · Aviso do Fabricante
• https://lists.apache.org/thread.html/rd142565996d7ee847b9c14b8a9921dcf80bc6bc160e3d9dca6dfc2f8%40%3Cannounce.apache.org%3E · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-26559 · Nota de Segurança
• https://lists.apache.org/thread.html/rd142565996d7ee847b9c14b8a9921dcf80bc6bc160e3d9dca6dfc2f8@%3Cannounce.apache.org%3E · Nota
• https://t.me/cvenotify/10359 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2021/02/17/1 · Nota
• https://osv.dev/vulnerability/GHSA-ffw3-6mp6-jmvj · Aviso do Fabricante
• https://t.me/cibsecurity/23740 · Publicação no Telegram