PT-2022-26017 · Apache · Apache Airflow

Axel Chong + 1 · Publicado 2022-10-07 · Atualizado 2026-02-20 · CVE-2022-41672

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.4.1

Descrição

A vulnerabilidade permite que um usuário já autenticado continue usando a interface do usuário (UI) ou a API mesmo após a desativação de sua conta.

Recomendações

Para versões anteriores à 2.4.1, atualize para a versão 2.4.1 ou posterior para resolver o problema.

Correção

Improper Authorization

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-285

CWE-613

Identificadores relacionados

BIT-AIRFLOW-2022-41672

CVE-2022-41672

GHSA-3Q8R-F3PJ-3GC4

PYSEC-2022-42983

Produtos afetados

Apache Airflow

Referências · 13

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/26635 · Correção
• https://github.com/apache/airflow/commit/12bfb571a895a28a58d3189b0fc10cfc1b89e24c · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2022-42983.yaml · Nota
• https://t.me/cvenotify/44114 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-3q8r-f3pj-3gc4 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-42983 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41672 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-41672 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-airflow-2022-41672 · Aviso do Fabricante
• https://lists.apache.org/thread/ohf3pvd3dftb8zb01yngbn1jtkq5m08y · Aviso do Fabricante
• https://github.com/advisories/GHSA-3q8r-f3pj-3gc4 · Nota
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2022-41672 · Aviso do Fabricante