CVE-2026-81862

Apache Airflow-nun Teradata provayderi bulud yaddaşı etibarlılıq məlumatlarını birbaşa SQL ifadələrinə daxil edirdi. Bucket şəxsi olduqda və heç bir `teradata_authorization_name` konfiqurasiya edilmədikdə — ki, bu hər iki operator üçün standart etibarlılıq yoludur — `S3ToTeradataOperator` və `AzureBlobStorageToTeradataOperator` mənbə bucket-inin etibarlılıq məlumatlarını sadə sətir literalları kimi `CREATE MULTISET TABLE ... LOCATION` ifadəsinə interpolasiya edir. Daha sonra bu ifadə loqlanır və icra edilir, beləliklə etibarlılıq məlumatları operatorun nəzarətindən kənar iki yerə çatır. Hər iki operator fərqli kanallar vasitəsilə fərqli etibarlılıq məlumatlarını ifşa edir və tətbiqlərdə hər ikisi yoxlanılmalıdır. `S3ToTeradataOperator` dəyərləri `s3_hook.get_credentials()` funksiyasından alır ki, bu da instans profil və ya IRSA altında Airflow-nun sirr maskalayıcısı ilə heç vaxt qeydiyyata alınmamış runtime AWS etibarlılıq məlumatlarını qaytarır — və STS sessiya tokeni runtime zamanı yaradılır, buna görə də AWS bağlantısı konfiqurasiya edildikdə belə maskalanmır. Bu etibarlılıq məlumatları **Airflow tapşırıq loqunda** görünür və DAG üzərində loq baxma icazəsi olan istənilən istifadəçi tərəfindən oxuna bilir. `AzureBlobStorageToTeradataOperator` yaddaş hesabı açarını bağlantıdan götürür, buna görə də maskalayıcı adətən tapşırıq loqundakı nüsxəni gizlədir; onun ifşası Teradata tərəfdə baş verir. **Hər iki** operator etibarlılıq məlumatlarını Teradata-nın DBQL sorğu loqlarına və canlı monitorinq görüntülərinə yazır, burada Airflow-nun maskalanması heç vaxt tətbiq olunmur və dəyərlər həmin sistemin loq saxlanma müddəti boyunca qalır. Bu problem, Teradata `AUTHORIZATION` obyekti olmadan şəxsi bucket və ya konteyner əleyhinə hər hansı bir operatordan istifadə edən tətbiqlərə təsir edir. İstifadəçilərə etibarlılıq məlumatlarını ehtiva edən ifadəni Airflow tapşırıq loqundan uzaq tutan `apache-airflow-providers-teradata` versiyası `3.7.0` və ya daha yenisinə yüksəltmə etmək tövsiyə olunur. Yüksəltmə prosesi etibarlılıq məlumatlarını Airflow-nun redaktə edə bilmədiyi Teradata sorğu loqlarından və monitorinq görüntülərindən silmir: istifadəçilər etibarlılıq məlumatlarının heç vaxt sətir daxilinə yerləşdirilməməsi üçün `teradata_authorization_name`-i Teradata `AUTHORIZATION` obyekti ilə konfiqurasiya etməli və əvvəllər sətirdaxili yol vasitəsilə istifadə edilmiş bütün etibarlılıq məlumatlarını dəyişdirməlidirlər.