PT-2022-25269 · Apache · Apache Airflow Pig Provider+1

Id_No2015429 · Publicado 2022-11-22 · Atualizado 2025-04-29 · CVE-2022-40189

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow Pig Provider anteriores à 4.0.0

Versões do Apache Airflow anteriores à 2.3.0

Descrição

O problema está relacionado à neutralização inadequada de elementos especiais usados em um comando do sistema operacional, também conhecido como “injeção de comando do sistema operacional”. Isso permite que um invasor controle os comandos executados no contexto de execução da tarefa sem precisar de acesso de gravação aos arquivos DAG.

Recomendações

Para versões do Apache Airflow Pig Provider anteriores à 4.0.0, instale manualmente a versão 4.0.0 do Pig Provider para resolver o problema.

Para versões do Apache Airflow anteriores à 2.3.0, atualize para a versão 2.3.0 ou posterior e, em seguida, instale manualmente o Pig Provider versão 4.0.0 para resolver o problema.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BIT-AIRFLOW-2022-40189

CVE-2022-40189

GHSA-RMF2-PWFQ-H75J

Produtos afetados

Apache Airflow

Apache Airflow Pig Provider

Referências · 9

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/27644 · Correção
• https://lists.apache.org/thread/yxnfzfw2w9pj5s785k3rlyly4y44sd15 · Nota
• https://osv.dev/vulnerability/GHSA-rmf2-pwfq-h75j · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-40189 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-40189 · Nota de Segurança
• https://t.me/cibsecurity/53316 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-airflow-2022-40189 · Aviso do Fabricante
• https://t.me/cvenotify/120134 · Publicação no Telegram