PT-2024-2130 · Apache · Apache Airflow

H1_Yusuf + 1 · Publicado 2024-03-01 · Atualizado 2024-11-01 · CVE-2024-26280

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.8.2

Descrição

O problema está relacionado a permissões padrão incorretas no Apache Airflow, permitindo que usuários autenticados dos grupos Ops e Viewers visualizem todas as informações dos registros de auditoria, incluindo nomes de DAGs e nomes de usuário que não tinham permissão para visualizar. A partir da versão 2.8.2, os usuários Ops e Viewer não têm permissão para acessar os logs de auditoria por padrão e precisam receber permissões explicitamente para visualizar os logs. Apenas usuários administradores têm permissão para acessar os logs de auditoria por padrão.

Recomendações

Para versões do Apache Airflow anteriores à 2.8.2, atualize para a versão 2.8.2 ou mais recente para mitigar o risco associado a este problema.

Correção

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

BDU:2024-02029

BIT-AIRFLOW-2024-26280

CVE-2024-26280

GHSA-6XWF-XVF3-V459

PYSEC-2024-42

Produtos afetados

Apache Airflow

Referências · 22

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/37501 · Correção
• https://github.com/apache/airflow/commit/f2ea8a3e1753012bfe0d529c9c8be66cf55ca28f · Nota
• https://github.com/apache/airflow/commit/8324c87e05741e5a673c43b315619a3788bacc2e · Nota
• https://github.com/apache/airflow/commit/8463ee4f25114a6c5fb2408d6026afe94bdf106d · Nota
• https://github.com/apache/airflow/commit/f4b9cc74976b7df1acbc3c63471b5751b3e2c40c · Nota
• https://github.com/apache/airflow/commit/1a96407cd2d76616c1137de288f092d4f3b097fa · Nota
• https://github.com/apache/airflow/commit/7f10998c17ab9d725bc8671deb4c12d672bfba99 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-42.yaml · Nota
• https://bdu.fstec.ru/vul/2024-02029 · Nota de Segurança
• http://openwall.com/lists/oss-security/2024/03/01/1 · Nota
• https://lists.apache.org/thread/knskxxxml95091rsnpxkpo1jjp8rj0fh · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-airflow-2024-26280 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-26280 · Nota de Segurança
• https://vuldb.com/ru/?id.255401 · Nota