PT-2022-18717 · Apache · Apache Airflow

James Srinivasan · Publicado 2022-11-14 · Atualizado 2025-04-30 · CVE-2022-27949

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.3.1

Descrição

Uma vulnerabilidade na interface do usuário (UI) do Apache Airflow permite que um invasor visualize segredos não mascarados nos valores renderizados de modelos para tarefas que não foram executadas, como quando as tarefas dependem de instâncias anteriores e essas instâncias falharam.

Recomendações

Para versões anteriores à 2.3.1, atualize para a versão 2.3.1 ou posterior para resolver o problema.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-AIRFLOW-2022-27949

CVE-2022-27949

GHSA-FVW2-2PF7-77VW

PYSEC-2022-42981

Produtos afetados

Apache Airflow

Referências · 16

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/22754 · Correção
• https://github.com/apache/airflow/commit/09be0c5c7e847dda1d0be5776f8d5e327ff2281a · Nota
• https://github.com/apache/airflow/commit/1cbb0ad26dd17f218c6ab1c2ae59b262c443a443 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2022-42981.yaml · Nota
• https://t.me/cvenotify/120380 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-27949 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-27949 · Nota de Segurança
• https://lists.apache.org/thread/n38oc5obb48600fsvnbopxcs0jpbp65p · Aviso do Fabricante
• https://t.me/cvenotify/37891 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2022-42981 · Aviso do Fabricante
• https://github.com/advisories/GHSA-fvw2-2pf7-77vw · Nota
• https://t.me/cvenotify/37608 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-fvw2-2pf7-77vw · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/11/14/3 · Nota