PT-2022-24256 · Apache · Apache Airflow

Harry Sintonen · Publicado 2022-09-02 · Atualizado 2026-02-20 · CVE-2022-38170

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.7

Média

Vetor base

AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.3.4

Descrição

O problema está relacionado a uma configuração insegura do umask no Apache Airflow quando executado com o sinalizador --daemon. Isso pode levar a uma condição de corrida, resultando em arquivos com permissão de gravação para todos no diretório raiz do Airflow. Usuários locais poderiam explorar essa vulnerabilidade para expor conteúdos de arquivos arbitrários por meio do servidor web.

Recomendações

Para versões anteriores à 2.3.4, atualize para a versão 2.3.4 ou posterior para resolver o problema. Como solução temporária, considere executar o Airflow sem o sinalizador --daemon até que a atualização seja aplicada. Restrinja o acesso ao diretório raiz do Airflow para minimizar o risco de exploração.

Correção

DoS

Incorrect Permission

Race Condition

Enumeração de Fraquezas

CWE-732

CWE-362

Identificadores relacionados

BIT-AIRFLOW-2022-38170

CVE-2022-38170

GHSA-Q8H9-PQCX-59HW

PYSEC-2022-261

Produtos afetados

Apache Airflow

Referências · 16

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/commit/bf01d10cd348e679916034de1befb79ec6e46ff8 · Nota
• https://github.com/apache/airflow/commit/c14ea8f0f34944d2ecfa9021d167602e8b2b8b90 · Nota
• https://github.com/apache/airflow/commit/b6a2cd1aa34f69a36ea127e4f7f5ba87f4aca420 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2022-261.yaml · Nota
• https://lists.apache.org/thread/zn8mbbb1j2od5nc9zhrvb7rpsrg1vvzv · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-38170 · Nota de Segurança
• https://github.com/advisories/GHSA-q8h9-pqcx-59hw · Nota
• http://openwall.com/lists/oss-security/2022/09/02/3 · Nota
• http://openwall.com/lists/oss-security/2022/09/02/12 · Nota
• http://openwall.com/lists/oss-security/2022/09/21/2 · Nota
• https://osv.dev/vulnerability/PYSEC-2022-261 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q8h9-pqcx-59hw · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2022-38170 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-38170 · Aviso do Fabricante