PT-2025-15046 · Apache · Apache Airflow Common Sql Provider

Nxczje · Publicado 2025-04-04 · Atualizado 2026-06-03 · CVE-2025-30473

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do Apache Airflow Common SQL Provider anteriores à 1.24.1

Descrição O problema está relacionado a uma vulnerabilidade de Injeção de SQL no Apache Airflow Common SQL Provider. Esta vulnerabilidade permite que um usuário autenticado na interface injete comandos SQL arbitrários ao acionar um DAG, potencialmente escalonando privilégios para executar comandos que normalmente não possuiria.

Recomendações Para versões anteriores à 1.24.1, atualize para a versão 1.24.1 para corrigir o problema. Como solução temporária, considere restringir o acesso ao SQLTableCheckOperator e limitar a exposição do partition clause aos usuários. Evite usar o partition clause no SQLTableCheckOperator como parâmetro para minimizar o risco de exploração.

Correção

RCE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2025-04085

CVE-2025-30473

GHSA-5R62-MJF5-XWHJ

Produtos afetados

Apache Airflow Common Sql Provider

Referências · 16

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/48098 · Correção
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2025-30473 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2025/04/06/3 · Nota
• https://lists.apache.org/thread/53klkv790cylqcop0350w7nfq1y6h0t2 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1909165889770885631 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-04085 · Nota de Segurança
• http://openwall.com/lists/oss-security/2025/04/06/2 · Nota
• https://osv.dev/vulnerability/GHSA-5r62-mjf5-xwhj · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-30473 · Nota de Segurança
• https://twitter.com/cybercronai/status/1909595962101706952 · Publicação no Twitter
• https://twitter.com/oss_security/status/1908244021316554909 · Publicação no Twitter
• https://t.me/cvedetector/22278 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2025/04/04/2 · Nota
• http://openwall.com/lists/oss-security/2025/04/06/1 · Nota