PT-2024-31385 · Apache · Apache Airflow

Amogh Desai + 1 · Publicado 2024-09-06 · Atualizado 2026-02-20 · CVE-2024-45034

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.10.1

Descrição

A vulnerabilidade permite que os autores de DAGs adicionem configurações locais à pasta do DAG e façam com que o agendador as execute, embora o agendador não deva executar código enviado pelo autor do DAG. Recomenda-se aos usuários que atualizem para uma versão corrigida.

Recomendações

Para versões do Apache Airflow anteriores à 2.10.1, atualize para a versão 2.10.1 ou posterior para corrigir a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso à pasta DAG para impedir a execução não autorizada de configurações locais.

Correção

DoS

Enumeração de Fraquezas

CWE-250

Identificadores relacionados

BIT-AIRFLOW-2024-45034

CVE-2024-45034

GHSA-92XG-GMRQ-5C3W

PYSEC-2024-212

Produtos afetados

Apache Airflow

Referências · 21

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/41672 · Correção
• https://github.com/apache/airflow/commit/03e01e76d2203d37aa645096df195b4328665f6d · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-212.yaml · Nota
• https://github.com/advisories/GHSA-92xg-gmrq-5c3w · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-45034 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1832121991211458992 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-92xg-gmrq-5c3w · Aviso do Fabricante
• https://twitter.com/oss_security/status/1832170016982364372 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2024-212 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-45034 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-airflow-2024-45034 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/09/06/3 · Nota
• https://lists.apache.org/thread/b4fcw33vh60yfg9990n5vmc7sy2dcgjx · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2024-45034 · Aviso do Fabricante