CVE-2025-67895
Təsvir
Airflow 2-də Edge3 Worker RPC uzaqdan kodun icrası (RCE). Bu problem Apache Airflow Providers Edge3-ün 2.0.0 versiyasından əvvəlki versiyalarına təsir edir və yalnız onu Airflow 2 üzərində quraşdırıb konfiqurasiya etmisinizsə aktualdır. Airflow 2-də Edge3 provayder dəstəyi həmişə yalnız inkişaf məqsədli olmuşdur və rəsmi şəkildə buraxılmamışdır, lakin Airflow 2-də Edge3 provayderini quraşdırıb konfiqurasiya etmisinizsə, bu, inkişaf zamanı Airflow 2-də Edge Provayderini sınaqdan keçirmək üçün istifadə olunan qeyri-ictimai (normalda) API-ni implicit şəkildə aktivləşdirirdi. Bu API, DAG müəllifinin vebserver kontekstində uzaqdan kodun icrasını (Remote Code Execution) yerinə yetirməsinə şərait yaradırdı ki, DAG müəllifinin bunu etmək səlahiyyəti olmamalı idi. Əgər Airflow 2 üçün Edge3 provayderini quraşdırıb konfiqurasiya etmisinizsə, onu silməli və Airflow 3-ə keçid etməlisiniz. Yeni Edge3 provayder versiyalarında (>=2.0.0) minimal Airflow versiyası 3 olaraq təyin edilmişdir və RCE riskli Airflow 2 kodu silinmişdir, buna görə də Edge3 provayderinin 2.0.0+ versiyalarını Airflow 2-də istifadə etmək artıq mümkün olmamalıdır. Əgər Airflow 3-də Edge Provayderindən istifadə etmisinizsə, sizə təsir etmir.
Necə düzəltmək olar
- apache apache-airflow-providers-edge32.0.0 və ya daha yeni versiya
- apache-airflow-providers-edge32.0.0 və ya daha yeni versiya
- apache-airflow2.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache apache-airflow-providers-edge3 | v < 2.0.0 | 2.0.0 |
| apache-airflow-providers-edge3PyPI | v < 2.0.0 | 2.0.0 |
| apache-airflowPyPI | v < 2.0.0 | 2.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.