PT-2022-12315 · Apache · Apache Airflow

Franco Cano Erazo · Publicado 2022-01-20 · Atualizado 2024-03-06 · CVE-2021-45230

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.2.0

Descrição

O problema afeta usuários com permissões “can create” em execuções de DAG, permitindo que criem execuções de DAG para DAGs para os quais não possuem permissões de “edit”. Trata-se de um caso específico em que as permissões do usuário não correspondem ao controle de acesso esperado.

Recomendações

Para versões anteriores à 2.2.0, atualize para a versão 2.2.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir as permissões “can create” em execuções de DAG apenas aos usuários que também tenham permissões de “edit” para os respectivos DAGs.

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

BIT-AIRFLOW-2021-45230

CVE-2021-45230

GHSA-4JH2-3C85-Q67H

PYSEC-2022-11

Produtos afetados

Apache Airflow

Referências · 11

• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2022-11.yaml · Nota
• https://lists.apache.org/thread/m778ojn0k595rwco4ht9wjql89mjoxnl · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-45230 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-45230 · Nota de Segurança
• https://t.me/cvenotify/25698 · Publicação no Telegram
• https://t.me/cibsecurity/35913 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4jh2-3c85-q67h · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-11 · Aviso do Fabricante
• https://t.me/cvenotify/25713 · Publicação no Telegram
• https://github.com/advisories/GHSA-4jh2-3c85-q67h · Nota
• https://osv.dev/vulnerability/BIT-airflow-2021-45230 · Aviso do Fabricante