PT-2024-24381 · Apache · Apache Airflow

Jens Scheffler + 1 · Publicado 2024-05-14 · Atualizado 2024-12-11 · CVE-2024-32077

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Apache Airflow versão 2.9.0

Descrição

A vulnerabilidade permite que um invasor autenticado injete dados maliciosos nos logs das instâncias de tarefa. Trata-se de uma vulnerabilidade de segurança crítica que permite que invasores injetem dados nos logs das instâncias de tarefa.

Recomendações

Para o Apache Airflow versão 2.9.0, atualize para a versão 2.9.1 para corrigir o problema. Como solução alternativa temporária, considere restringir o acesso aos logs das instâncias de tarefa até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-AIRFLOW-2024-32077

CVE-2024-32077

GHSA-52GM-QMG3-R4QP

PYSEC-2024-264

Produtos afetados

Apache Airflow

Referências · 14

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/38882 · Correção
• https://github.com/apache/airflow/commit/87acf61f574daf47ce9e03a986e352a2c727f4ce · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-264.yaml · Nota
• https://osv.dev/vulnerability/BIT-airflow-2024-32077 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-32077 · Nota de Segurança
• https://github.com/advisories/GHSA-52gm-qmg3-r4qp · Nota
• https://lists.apache.org/thread/gsjmnrqb3m5fzp0vgpty1jxcywo91v77 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-52gm-qmg3-r4qp · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-32077 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/05/14/1 · Nota
• https://twitter.com/oss_security/status/1791152158538072234 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2024-264 · Aviso do Fabricante
• https://twitter.com/Hossted_OSS/status/1798595683253154271 · Publicação no Twitter