PT-2024-4257 · Apache · Apache Airflow

Jens Scheffler · Publicado 2024-06-13 · Atualizado 2024-12-11 · CVE-2024-25142

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.9.2

Descrição

O problema está relacionado ao uso do cache do navegador da web contendo informações confidenciais no Apache Airflow. O Airflow não retornava um cabeçalho “Cache-Control” para conteúdo dinâmico, o que poderia resultar no armazenamento potencial de dados confidenciais no cache local do navegador. Isso poderia permitir que um invasor divulgasse informações protegidas por meio do cabeçalho Cache-Control.

Recomendações

Para versões do Apache Airflow anteriores à 2.9.2, atualize para a versão 2.9.2, que corrige o problema. Como solução temporária, considere configurar o navegador para desativar o armazenamento em cache de dados confidenciais ou restringir o acesso a informações confidenciais até que o problema seja resolvido.

Correção

Enumeração de Fraquezas

CWE-525

Identificadores relacionados

BDU:2024-04744

BIT-AIRFLOW-2024-25142

CVE-2024-25142

GHSA-9XPJ-62MM-24H2

PYSEC-2024-195

Produtos afetados

Apache Airflow

Referências · 18

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/39550 · Correção
• https://github.com/apache/airflow/commit/94eb647de692a4d9555b02dce85974da5d4c04e3 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-195.yaml · Nota
• https://twitter.com/oss_security/status/1801271345616986134 · Publicação no Twitter
• https://github.com/advisories/GHSA-9xpj-62mm-24h2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-25142 · Nota de Segurança
• https://vuldb.com/?id.268426 · Nota
• https://bdu.fstec.ru/vul/2024-04744 · Nota de Segurança
• https://twitter.com/dailycve/status/1866890669190492293 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-9xpj-62mm-24h2 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/06/13/1 · Nota
• https://lists.apache.org/thread/cg1j28lk0fhzthk0of1g7vy7p2n1j7nr · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-195 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1801547307374027148 · Publicação no Twitter