CVE-2022-40954
Təsvir
Apache Airflow Spark Provider-də OS əmri üçün istifadə olunan xüsusi elementlərin düzgün neytrallaşdırılmaması ('OS Command Injection') zəifliyi hücuma məruz qalana DAG fayllarına yazma icazəsi olmadan tapşırığın icra kontekstində ixtiyari faylları oxumağa imkan verir. Bu problem Spark Provider-in 4.0.0-dan əvvəlki versiyalarına təsir edir. O, həmçinin Spark Provider quraşdırıldığı halda 2.3.0-dan əvvəlki istənilən Apache Airflow versiyalarına təsir edir (Spark Provider 4.0.0 yalnız Airflow 2.3.0+ üçün quraşdırıla bilər). Qeyd edək ki, Spark Provider-in daha aşağı versiyası quraşdırılmış Airflow 2.3.0+ versiyası üzərində zəifliyi aradan qaldırmaq üçün Spark Provider 4.0.0 versiyasını əl ilə quraşdırmaq lazımdır.
Necə düzəltmək olar
- apache airflow2.3.0 və ya daha yeni versiya
- apache apache-airflow-providers-apache-spark4.0.0 və ya daha yeni versiya
- apache-airflow2.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow | v < 2.3.0 | 2.3.0 |
| apache apache-airflow-providers-apache-spark | v < 4.0.0 | 4.0.0 |
| apache-airflowPyPI | v < 2.3.0 | 2.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.