PT-2024-31664 · Apache · Apache Airflow

Amogh Desai + 2 · CVE-2024-45498 · Publicado 2024-09-06 · Atualizado 2024-12-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Apache Airflow versão 2.10.0

Descrição:

A vulnerabilidade permite que um invasor autenticado, com apenas permissão para acionar DAGs, execute comandos arbitrários. Isso está relacionado ao DAG de exemplo example inlet event extra.py fornecido com o Apache Airflow. Recomenda-se revisar os DAGs baseados nesse exemplo e evitar a exposição de DAGs de exemplo nas implantações.

Recomendações:

Para o Apache Airflow versão 2.10.0, atualize para a versão 2.10.1 ou posterior para resolver o problema. Se for necessário expor os DAGs de exemplo, considere a atualização como a principal medida de mitigação. Como solução alternativa temporária, considere restringir o acesso aos DAGs de exemplo até que o problema seja resolvido.

Exploit

Correção

DoS

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

Identificadores relacionados

BIT-AIRFLOW-2024-45498

CVE-2024-45498

GHSA-C392-WHPC-VFPR

PYSEC-2024-266

Produtos afetados

Apache Airflow

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45498.json · Exploit
• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/41873 · Correção
• https://github.com/apache/airflow/commit/09ec2616568f8a18e0d5fe408110fae06ddf748f · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-266.yaml · Nota
• http://openwall.com/lists/oss-security/2024/09/06/2 · Nota
• https://osv.dev/vulnerability/CVE-2024-45498 · Aviso do Fabricante
• https://twitter.com/oss_security/status/1832170016982364372 · Publicação no Twitter
• https://twitter.com/bountywriteups/status/1865236872638681240 · Publicação no Twitter
• https://lists.apache.org/thread/tl7lzczcqdmqj2pcpbvtjdpd2tb9561n · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-266 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1832332463386902792 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-c392-whpc-vfpr · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2024/09/06/2 · Nota
• https://twitter.com/h1Disclosed/status/1865229932689064365 · Publicação no Twitter