CVE-2022-40954
Açıklama
Apache Airflow Spark Provider'daki 'İşletim Sistemi Komutu Enjeksiyonu' (OS Command Injection) zafiyeti nedeniyle, Apache Airflow bir saldırganın DAG dosyalarına yazma erişimi olmaksızın görev yürütme bağlamındaki rastgele dosyaları okumasına izin verir. Bu sorun, 4.0.0 öncesindeki Spark Provider sürümlerini etkilemektedir. Ayrıca, Spark Provider yüklü olması durumunda 2.3.0 öncesindeki tüm Apache Airflow sürümlerini de etkiler (Spark Provider 4.0.0 yalnızca Airflow 2.3.0+ için yüklenebilir). Daha düşük bir Spark Provider sürümünün yüklü olduğu Airflow 2.3.0+ versiyonlarında zafiyetten kurtulmak için Spark Provider 4.0.0 sürümünü manuel olarak yüklemeniz gerektiğini unutmayın.
Nasıl düzeltilir
- apache airflow2.3.0 ya da sonraki bir sürüm
- apache apache-airflow-providers-apache-spark4.0.0 ya da sonraki bir sürüm
- apache-airflow2.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | v < 2.3.0 | 2.3.0 |
| apache apache-airflow-providers-apache-spark | v < 4.0.0 | 4.0.0 |
| apache-airflowPyPI | v < 2.3.0 | 2.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.