CVE-2025-54415
Təsvir
dag-factory, konfiqurasiya faylları vasitəsilə deklarativ şəkildə DAG-lar qurmaq üçün Apache Airflow® kitabxanasıdır. Versiya 0.23.0a8 və daha aşağı versiyalarda, astronomer/dag-factory GitHub repozitoriyasındakı cicd.yml iş axınında (workflow) yüksək dərəcəli təhlükəsizlik boşluğu aşkar edilmişdir. İş axını, xüsusilə pull_request_target tərəfindən tetikləndikdə istismara meyillidir və hücumçuya GitHub Actions runner mühitində ixtiyari kodun icrasına imkan verir. Bu yanlış konfiqurasiya hücumçunun reverse shell yaratmasına, yüksək imtiyazlı GITHUB_TOKEN daxil olmaqla həssas gizli məlumatları sızdırmasına və nəticədə repozitoriya üzərində tam nəzarət əldə etməsinə şərait yaradır. Bu problem 0.23.0a9 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| astronomer dag-factory | < 0.23.0a9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.