PT-2024-4769 · Apache · Apache Airflow

Seokchan Yoon + 1 · Publicado 2024-07-17 · Atualizado 2025-07-28 · CVE-2024-39877

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow de 2.4.0 a 2.9.3

Descrição

Esta vulnerabilidade permite que autores de DAGs autenticados criem um parâmetro doc md malicioso, o que pode levar à execução de código arbitrário no contexto do agendador. Isso contorna o modelo de segurança do Airflow, que deveria impedir tais ações. A vulnerabilidade decorre da falta de sanitização ao processar o parâmetro doc md, que é usado para criar descrições para DAGs (Gráficos Acíclicos Direcionados) na interface web do Airflow. Quando doc md não possui a extensão ‘.md’, o Airflow cria um modelo usando jinja2.Template(doc md), resultando em uma condição de Injeção de Modelo no Lado do Servidor (SSTI). Os invasores podem aproveitar os recursos de introspecção do Python para enumerar classes e executar comandos, comprometendo potencialmente o sistema. A exploração requer a capacidade de criar DAGs no servidor do Airflow.

Recomendações

Atualize para a versão 2.9.3 ou posterior do Apache Airflow para resolver este problema.

Correção

DoS

RCE

Code Injection

Enumeração de Fraquezas

CWE-277

CWE-94

Identificadores relacionados

BDU:2024-05292

BIT-AIRFLOW-2024-39877

CVE-2024-39877

GHSA-G5HV-R743-V8PM

PYSEC-2024-190

Produtos afetados

Apache Airflow

Referências · 28

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/40522 · Correção
• https://github.com/apache/airflow/commit/8159f6e24704f5e0e3b3217cf79ecf5083dce531 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-190.yaml · Nota
• https://lists.apache.org/thread/1xhj9dkp37d6pzn24ll2mf94wbqnb2y1 · Aviso do Fabricante
• https://twitter.com/RicardoJoseRF/status/1949733919047238137 · Publicação no Twitter
• https://t.me/secharvester/16840 · Publicação no Telegram
• https://github.com/advisories/GHSA-g5hv-r743-v8pm · Nota
• https://twitter.com/Komodosec/status/1826801571838992704 · Publicação no Twitter
• https://t.me/cvedetector/1066 · Publicação no Telegram
• https://t.me/thebugbountyhunter/8998 · Publicação no Telegram
• https://t.me/rnetsec/20643 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2024-05292 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-39877 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-airflow-2024-39877 · Aviso do Fabricante