PT-2024-5041 · Apache · Apache Airflow

Amogh Desai + 1 · Publicado 2024-07-16 · Atualizado 2024-08-01 · CVE-2024-39863

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas:

Versões do Apache Airflow anteriores à 2.9.3

Descrição:

O problema está relacionado à falta de proteção da estrutura da página da web no componente Provider do Apache Airflow, permitindo que um invasor autenticado insira um link malicioso ao instalar um provedor. Isso pode levar a um ataque de script entre sites (XSS).

Recomendações:

Para versões do Apache Airflow anteriores à 2.9.3, atualize para a versão 2.9.3 para corrigir o problema.

Correção

XSS

Special Elements Injection

Enumeração de Fraquezas

CWE-79

CWE-74

Identificadores relacionados

BDU:2024-05568

BIT-AIRFLOW-2024-39863

CVE-2024-39863

GHSA-J482-47XF-P25C

PYSEC-2024-189

Produtos afetados

Apache Airflow

Referências · 19

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/40475 · Correção
• https://github.com/apache/airflow/commit/f18f48492dc69f392e45567580b6ddb0c070ea58 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-189.yaml · Nota
• https://github.com/advisories/GHSA-j482-47xf-p25c · Nota
• http://openwall.com/lists/oss-security/2024/07/16/6 · Nota
• https://osv.dev/vulnerability/CVE-2024-39863 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-189 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j482-47xf-p25c · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39863 · Nota de Segurança
• https://t.me/cvenotify/86771 · Publicação no Telegram
• https://vuldb.com/?id.271661 · Nota
• https://bdu.fstec.ru/vul/2024-05568 · Nota de Segurança
• https://t.me/cvenotify/86482 · Publicação no Telegram
• https://t.me/cvenotify/86981 · Publicação no Telegram