PT-2022-24498 · Apache · Apache Airflow+1

Id_No2015429 · Publicado 2022-11-22 · Atualizado 2025-04-29 · CVE-2022-38649

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow Pinot Provider anteriores à 4.0.0

Versões do Apache Airflow anteriores à 2.3.0

Descrição

O problema está relacionado à neutralização inadequada de elementos especiais usados em um comando do sistema operacional, também conhecida como “injeção de comando do sistema operacional”. Isso permite que um invasor controle os comandos executados no contexto de execução da tarefa sem precisar de acesso de gravação aos arquivos DAG.

Recomendações

Para versões do Apache Airflow Pinot Provider anteriores à 4.0.0, instale manualmente a versão 4.0.0 do Pinot Provider para resolver o problema.

Para versões do Apache Airflow anteriores à 2.3.0, atualize para a versão 2.3.0 ou posterior e, em seguida, instale manualmente a versão 4.0.0 do Pinot Provider para resolver o problema.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BIT-AIRFLOW-2022-38649

CVE-2022-38649

GHSA-7WQF-H36W-47MC

Produtos afetados

Apache Airflow

Apache Airflow Pig Provider

Referências · 10

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/27641 · Correção
• https://github.com/apache/airflow/commit/1d4fd5c6eacab0b88f8660f9d780174434393f1a · Nota
• https://t.me/cvenotify/120133 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-7wqf-h36w-47mc · Aviso do Fabricante
• https://lists.apache.org/thread/033o1gbc4ly6dpd2xf1o201v56fbl4dz · Aviso do Fabricante
• https://t.me/cibsecurity/53320 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-38649 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-38649 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-airflow-2022-38649 · Aviso do Fabricante