CVE-2023-40195
Açıklama
Apache Software Foundation Apache Airflow Spark Provider bileşeninde Güvenilmeyen Verilerin Deserializasyonu ve Güvenilmeyen Kontrol Küresinden İşlevsellik Dahil Etme zafiyeti bulunmaktadır. Apache Spark sağlayıcısı bir Airflow kurulumuna yüklendiğinde, Spark hook'larını yapılandırmak için yetkilendirilmiş bir Airflow kullanıcısı, bunu kötü amaçlı bir Spark sunucusuna yönlendirerek Airflow düğümü üzerinde etkili bir şekilde rastgele kod çalıştırabilir. Versiyon 4.1.3 öncesinde bu durum belgelerde açıkça belirtilmemişti, bu nedenle yöneticilerin bu durumu dikkate almadan Spark hook'larını yapılandırmak için yetkiler vermiş olması mümkündür. Yöneticilerin, Spark hook'larını yapılandırma yetkisinin yalnızca tamamen güvenilen kullanıcılara verildiğinden emin olmak için yapılandırmalarını gözden geçirmelerini öneririz. Belgelerdeki uyarıyı görüntülemek için lütfen şu adresi ziyaret edin: https://airflow.apache.org/docs/apache-airflow-providers-apache-spark/4.1.3/connections/spark.html
Nasıl düzeltilir
- apache airflow_spark_provider4.1.3 ya da sonraki bir sürüm
- apache-airflow-providers-apache-spark4.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow_spark_provider | v < 4.1.3 | 4.1.3 |
| apache-airflow-providers-apache-sparkPyPI | v < 4.1.3 | 4.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.