PT-2024-1970 · Apache · Apache Airflow

Alex Liotta + 3 · Publicado 2024-02-27 · Atualizado 2025-05-06 · CVE-2024-27906

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.8.2

Descrição

A vulnerabilidade permite que usuários autenticados visualizem o código DAG e os erros de importação de DAGs para os quais não têm permissão de visualização, tanto pela API quanto pela interface do usuário. Isso está relacionado à divulgação de informações na área de dados de erros. A exploração da vulnerabilidade pode permitir que um invasor remoto acesse o código-fonte dos DAGs.

Recomendações

Para versões do Apache Airflow anteriores à 2.8.2, atualize para a versão 2.8.2 ou mais recente para mitigar o risco associado a esta vulnerabilidade. Como solução temporária, considere restringir o acesso à API e à interface do usuário para usuários autenticados até que um patch esteja disponível.

Correção

Missing Authorization

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-862

CWE-668

Identificadores relacionados

BDU:2024-01798

BIT-AIRFLOW-2024-27906

CVE-2024-27906

GHSA-6V6W-H8M6-7MV2

PYSEC-2024-245

Produtos afetados

Apache Airflow

Referências · 29

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/37290 · Correção
• https://github.com/apache/airflow/pull/37468 · Correção
• https://github.com/apache/airflow/commit/0a95299691e2d6a9b874adfae94d246a7f681ec9 · Nota
• https://github.com/apache/airflow/commit/90255d9d44a649025f588497f6c82177dad48326 · Nota
• https://github.com/apache/airflow/commit/d944eb0de216d9e1d125fae5ce4af7440154deb4 · Nota
• https://github.com/apache/airflow/commit/08d25607abe8593ecb90a84e338896bb79692d7b · Nota
• https://github.com/apache/airflow/commit/a7fa258ba1c69a18e0f620499625f6026768dc24 · Nota
• https://github.com/apache/airflow/commit/9c4defa08268322b9db80123a22d7b56b2063446 · Nota
• https://github.com/apache/airflow/commit/2adbe882e68df0e2b1084bc869616bb01e416aa7 · Nota
• https://github.com/apache/airflow/commit/bc2646be043f71b4d1ab7eefd2af65a60bf919f2 · Nota
• https://github.com/apache/airflow/commit/2cb6027280bcf5e2b561f3ee7f55980f6ec4cc3a · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-245.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-27906 · Nota de Segurança
• https://t.me/cvenotify/120972 · Publicação no Telegram