PT-2024-29645 · Apache · Apache Airflow

Amogh Desai + 1 · Publicado 2024-08-21 · Atualizado 2024-09-07 · CVE-2024-41937

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.10.0

Descrição

A vulnerabilidade permite que o desenvolvedor de um provedor malicioso execute um ataque de script entre sites (XSS) ao clicar em um link da documentação do provedor. Para isso, é necessário que o provedor esteja instalado no servidor web e que o usuário clique no link do provedor.

Recomendações

Para versões do Apache Airflow anteriores à 2.10.0, atualize para a versão 2.10.0 ou posterior, que corrige este problema. Como solução temporária, considere restringir o acesso aos links da documentação do provedor para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-AIRFLOW-2024-41937

CVE-2024-41937

GHSA-W7CP-G8V7-R54M

PYSEC-2024-181

Produtos afetados

Apache Airflow

Referências · 20

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/40933 · Correção
• https://github.com/apache/airflow/commit/f1852c2ab28b155e196569780013fbb61a4a1f98 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-181.yaml · Nota
• http://openwall.com/lists/oss-security/2024/08/21/3 · Nota
• https://twitter.com/bountywriteups/status/1832331162557022317 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-41937 · Nota de Segurança
• https://twitter.com/h1Disclosed/status/1832328135683272738 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-w7cp-g8v7-r54m · Aviso do Fabricante
• https://twitter.com/oktsec/status/1826321986630337022 · Publicação no Twitter
• https://t.me/cvenotify/91953 · Publicação no Telegram
• https://github.com/advisories/GHSA-w7cp-g8v7-r54m · Nota
• https://osv.dev/vulnerability/CVE-2024-41937 · Aviso do Fabricante
• https://lists.apache.org/thread/lwlmgg6hqfmkpvw5py4w53hxyl37jl6d · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1826276454692270565 · Publicação no Twitter