CVE-2024-56373
Təsvir
(Artıq kifayət qədər çox icazələrə malik olan) DAG Müəllifi, Airflow 2 verilənlər bazasını manipulyasiya edərək veb-server kontekstində ixtiyari kodu icra edə bilərdi ki, bu normalda onlara mümkün olmamalıdır. Bu, istifadəçinin tapşırıqların tarixçə məlumatlarına baxması nəticəsində veb-server kontekstində (server tərəfində) potensial uzaqdan kodun icrasına səbəb ola bilər. Buna cavabdeh olan funksionallıq (loq şablonu tarixçəsi) 2.11.1 versiyasında standart olaraq deaktiv edilmişdir və loq şablonu tarixçəsini istifadə etməyə davam etmək istəyən istifadəçilər Airflow 3 versiyasına yüksəltmə etməlidirlər. Onlar həmçinin son loq şablonu dəyişikliyindən əvvəl yaradılmış tarixi loqları görmək istədikdə, tarixi loq fayllarının adlarını əllə dəyişdirə bilərlər.
Necə düzəltmək olar
- apache airflow2.11.1 və ya daha yeni versiya
- apache-airflow2.11.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow | v < 2.11.1 | 2.11.1 |
| apache-airflowPyPI | v < 2.11.1 | 2.11.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.