PT-2024-9206 · Apache · Apache Airflow

Amogh Desai + 1 · Publicado 2024-11-15 · Atualizado 2024-11-25 · CVE-2024-45784

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas:

Versões do Apache Airflow anteriores à 2.10.3

Descrição:

O problema está relacionado à exposição de variáveis de configuração confidenciais nos registros de tarefas. Isso poderia permitir que usuários não autorizados acessassem dados críticos, comprometendo potencialmente a segurança da implantação do Airflow. O número estimado de dispositivos potencialmente afetados em todo o mundo é superior a 54.000, conforme indicado por uma pesquisa no ZoomEye.

Recomendações:

Para resolver o problema, os usuários devem atualizar para o Airflow 2.10.3 ou a versão mais recente. Se você suspeitar que os autores de DAGs possam ter registrado os valores secretos nos logs e que seus logs não estejam protegidos adicionalmente, também é recomendável que você atualize esses segredos.

Correção

Enumeração de Fraquezas

CWE-1295

Identificadores relacionados

BDU:2024-10894

BIT-AIRFLOW-2024-45784

CVE-2024-45784

GHSA-46C3-5XC5-WWHV

PYSEC-2024-182

Produtos afetados

Apache Airflow

Referências · 27

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/43040 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2024-182.yaml · Nota
• https://t.me/cvenotify/101795 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-45784 · Nota de Segurança
• https://twitter.com/oss_security/status/1857318773721530563 · Publicação no Twitter
• https://twitter.com/fridaysecurity/status/1857975452326846470 · Publicação no Twitter
• https://twitter.com/fletch_ai/status/1858782401666883743 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-45784 · Aviso do Fabricante
• https://twitter.com/CCBalert/status/1858610391254761900 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-10894 · Nota de Segurança
• https://twitter.com/CVEnew/status/1857352284918972641 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/11/15/1 · Nota
• https://t.me/pentestingnews/53313 · Publicação no Telegram
• https://vuldb.com/?id.284676 · Nota