PT-2024-1306 · Apache · Apache Airflow

Hussein Awala + 1 · Publicado 2024-01-24 · Atualizado 2026-02-20 · CVE-2023-50943

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.8.1

Descrição

O problema está relacionado ao mecanismo de desserialização no Apache Airflow, permitindo que um possível invasor corrompa os dados XCom ao contornar a proteção da configuração enable xcom pickling=False, resultando em dados corrompidos após a desserialização XCom. Este problema é considerado de baixa gravidade, pois requer que um autor de DAG o explore.

Recomendações

Para resolver a vulnerabilidade, recomenda-se que os usuários atualizem para a versão 2.8.1 ou posterior, que corrige essa vulnerabilidade. Como solução alternativa temporária, considere desativar a configuração enable xcom pickling até que um patch esteja disponível. Restrinja o acesso aos dados XCom para minimizar o risco de exploração. Evite usar a configuração enable xcom pickling=False nos pontos de extremidade da API afetados até que a vulnerabilidade seja resolvida.

Correção

DoS

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2024-00754

BIT-AIRFLOW-2023-50943

CVE-2023-50943

GHSA-C3C6-F2WW-XFR2

PYSEC-2024-13

Produtos afetados

Apache Airflow

Referências · 20

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/36255 · Correção
• https://github.com/apache/airflow/commit/2c4c5bc604e9ab0cc1e98f7bee7d31d566579462 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-13.yaml · Nota
• https://twitter.com/CVEnew/status/1750146337776054554 · Publicação no Twitter
• https://twitter.com/oss_security/status/1750142508296806776 · Publicação no Twitter
• https://t.me/cvenotify/68530 · Publicação no Telegram
• https://t.me/cvenotify/68506 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-50943 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-c3c6-f2ww-xfr2 · Aviso do Fabricante
• https://vuldb.com/ru/?id.251951 · Nota
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2023-50943 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/01/24/4 · Nota
• https://lists.apache.org/thread/fx278v0twqzxkcts70tc04cp3f8p56pn · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-13 · Aviso do Fabricante