PT-2024-2573 · Apache · Apache Airflow

Alex Liotta + 1 · Publicado 2024-03-13 · Atualizado 2024-12-11 · CVE-2024-28746

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões 2.8.0 a 2.8.2 do Apache Airflow

Descrição

O problema está relacionado a um controle de acesso insuficiente no Apache Airflow, permitindo que um usuário autenticado com permissões limitadas acesse recursos como variáveis, conexões etc. a partir da interface do usuário, aos quais não tem permissão de acesso. Isso poderia permitir que um invasor remoto obtivesse acesso não autorizado aos recursos.

Recomendações

Para as versões 2.8.0 a 2.8.2 do Apache Airflow, atualize para a versão 2.8.3 ou mais recente para mitigar o risco associado a este problema.

Correção

Improper Access Control

Improper Preservation of Permissions

Enumeração de Fraquezas

CWE-284

CWE-281

Identificadores relacionados

BDU:2024-02611

BIT-AIRFLOW-2024-28746

CVE-2024-28746

GHSA-H574-6646-VFXX

PYSEC-2024-46

Produtos afetados

Apache Airflow

Referências · 21

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/37881 · Correção
• https://github.com/apache/airflow/commit/89e7f3e7bdf2126bbbcd959dc10d65ef92773cca · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-46.yaml · Nota
• https://cybersecurity-help.cz/vdb/SB202403153 · Nota
• https://twitter.com/fletch_ai/status/1768473962600714422 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-28746 · Aviso do Fabricante
• https://twitter.com/dailycve/status/1866890302268772514 · Publicação no Twitter
• https://lists.apache.org/thread/b4pffc7w7do6qgk4jjbyxvdz5odrvny7 · Aviso do Fabricante
• https://t.me/cvenotify/103878 · Publicação no Telegram
• https://twitter.com/RedPacketSec/status/1768217481519194562 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2024-46 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1768213774132219977 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-28746 · Nota de Segurança
• https://t.me/cvenotify/78769 · Publicação no Telegram