CVE-2024-29735

Apache Airflow-da İcazələrin Yanlış Qorunması zəifliyi. Bu problem Apache Airflow-nun 2.8.2 versiyasından 2.8.3 versiyasına qədər olan hissəsinə təsir edir. Airflow-nun lokal fayl tapşırıq idarəedicisi (local file task handler), standart konfiqurasiyada loq qovluğunun bütün valideyn qovluqları üçün icazələri yanlış təyin edərək həmin qovluqların Unix qrupuna yazı girişi əlavə etmişdir. Airflow root istifadəçisi ilə işlədilirsə (tövsiyə edilmir), fayl sisteminin kök dizinine qədər olan bütün qovluqlara qrup yazı icazəsi əlavə edilmişdir. Əgər loq fayllarınız ev kataloqunda (home directory) saxlanılırsa, bu icazə dəyişiklikləri ev kataloqunuz qrup tərəfindən yazılan olduqda SSH əməliyyatlarını yerinə yetirmə qabiliyyətinizə təsir göstərə bilər. Bu problem Rəsmi Airflow Docker referans imiclərindən ( https://hub.docker.com/r/apache/airflow/ ) istifadə edən və ya onları genişləndirən istifadəçilərə təsir etmir - həmin imiclərdə onsuz da qrup yazı icazəsinin olması tələb olunur. Siz yalnız Airflow-nu lokal quraşdırma / virtualenv və ya digər Docker imicləri vasitəsilə quraşdırdığınız halda risk altındasınız, lakin Docker konteynerləri nəzərdə tutulduğu kimi istifadə edilirsə (yəni Airflow komponentləri digər tətbiqlər və istifadəçilərlə konteynerləri paylaşmırsa), problemin heç bir təsiri yoxdur. Həmçinin, əgər umask dəyəriniz 002-dirsə (qrup yazısı aktivdir) - ki, bu bir çox Linux sistemlərində standartdır - sizə təsir etməməlidir. Konteynerlərdən kənarda Airflow istifadə edən istifadəçilər üçün tövsiyələr: * Əgər Airflow-nu işlətmək üçün root istifadəçisindən istifadə edirsinizsə, Airflow istifadəçisini root olmayan istifadəçi ilə dəyişdirin. * Apache Airflow-nu 2.8.4 və ya daha yuxarı versiyaya yüksəldin. * Yüksəltmə etmək istəmirsinizsə, https://airflow.apache.org/docs/apache-airflow/stable/configurations-ref.html#file-task-handler-new-folder-permissions parametrini 0o755 (əsl dəyəri 0o775) olaraq dəyişə bilərsiniz. * Əgər artıq Airflow tapşırıqlarını işlətmisinizsə və standart umask dəyəriniz 022-dirsə (qrup yazısı deaktivdir), Airflow komponentlərini dayandırmalı, bütün komponentlərdə AIRFLOW_HOME/logs qovluğunun və bu qovluğun bütün valideyn kataloqlarının icazələrini yoxlamalı və bütün valideyn kataloqları üçün qrup yazı girişini silməlisiniz.