CVE-2022-41131
Təsvir
Apache Airflow Hive Provider-də Əməliyyat Sistemi Əmrində istifadə olunan Xüsusi Elementlərin Yanlış Neytrallaşdırılması ('OS Command Injection') zəifliyi səbəbindən, Apache Airflow hücumçuya DAG fayllarına yazı girişi olmadan tapşırıqların icra kontekstində ixtiyari əmrləri yerinə yetirməyə imkan verir. Bu problem Hive Provider-in 4.1.0 versiyasından əvvəlki versiyalarına təsir edir. Həmçinin, Hive Provider quraşdırılıbsa, Apache Airflow-nun 2.3.0-dan əvvəlki bütün versiyaları da bu problemdən təsirlənir (Hive Provider 4.1.0 yalnız Airflow 2.3.0+ üçün quraşdırıla bilər). Nəzərə alın ki, Hive Provider-in daha aşağı versiyasının quraşdırıldığı Airflow 2.3.0+ versiyasında zəifliyin aradan qaldırılması üçün Hive Provider 4.1.0 versiyasını əllə quraşdırmalısınız.
Necə düzəltmək olar
- apache airflow2.3.0 və ya daha yeni versiya
- apache apache-airflow-providers-apache-hive4.1.0 və ya daha yeni versiya
- apache-airflow-providers-apache-hive4.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow | v < 2.3.0 | 2.3.0 |
| apache apache-airflow-providers-apache-hive | v < 4.1.0 | 4.1.0 |
| apache-airflow-providers-apache-hivePyPI | v < 4.1.0 | 4.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.