CVE-2023-40195
Təsvir
Etibarsız məlumatların deserializasiyası, etibarsız nəzarət sferasından funksionallığın daxil edilməsi zəifliyi Apache Software Foundation Apache Airflow Spark Provider-də. Apache Spark provider Airflow quraşdırmasında quraşdırıldıqda, Spark hook-larını konfiqurasiya etmək səlahiyyəti verilmiş Airflow istifadəçisi onu zərərli Spark serverinə yönəltməklə Airflow node-unda faktiki olaraq ixtiyari kod icra edə bilər. 4.1.3 versiyasından əvvəl bu, sənədləşmədə açıq şəkildə qeyd olunmamışdı, buna görə də mümkündür ki, administratorlar bunu nəzərə almadan Spark hook-larının konfiqurasiyası üçün səlahiyyətlər veriblər. Administratorlara tövsiyə edirik ki, konfiqurasiyalarını nəzərdən keçirsinlər və Spark hook-larının konfiqurasiyası üçün səlahiyyətin yalnız tam etibarlı istifadəçilərə verildiyinə əmin olsunlar. Sənədlərdə xəbərdarlığa baxmaq üçün https://airflow.apache.org/docs/apache-airflow-providers-apache-spark/4.1.3/connections/spark.html ünvanına daxil olun
Necə düzəltmək olar
- apache airflow_spark_provider4.1.3 və ya daha yeni versiya
- apache-airflow-providers-apache-spark4.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow_spark_provider | v < 4.1.3 | 4.1.3 |
| apache-airflow-providers-apache-sparkPyPI | v < 4.1.3 | 4.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.