CVE-2023-51702
Açıklama
Sürüm 5.2.0'dan itibaren, kimlik doğrulama için bir Kubernetes yapılandırma dosyası yolu ile deferrable modu kullanıldığında, Airflow worker bu yapılandırma dosyasını bir sözlük olarak serileştirir ve herhangi bir şifreleme olmaksızın metadata içinde saklayarak triggerer'a gönderir. Ek olarak, 2.3.0 ile 2.6.0 arasındaki bir Airflow sürümüyle kullanıldığında, yapılandırma sözlüğü triggerer servisinde maskelenmeden düz metin olarak günlüklere kaydedilir. Bu durum, metadata veya triggerer günlüklerine erişimi olan herkesin yapılandırma dosyasını elde etmesine ve bunu Kubernetes kümesine erişmek için kullanmasına olanak tanır. Bu davranış, dosya içeriklerini serileştirmeyi durduran ve bunun yerine içeriği trigger içine okumak için dosya yolunu sağlayan sürüm 7.0.0 ile değiştirilmiştir. Kullanıcıların, bu sorunu gideren sürüm 7.0.0'a yükseltmeleri önerilir.
Nasıl düzeltilir
- apache airflow2.6.1 ya da sonraki bir sürüm
- apache apache-airflow-providers-cncf-kubernetes7.0.0 ya da sonraki bir sürüm
- apache-airflow2.6.1 ya da sonraki bir sürüm
- apache-airflow-providers-cncf-kubernetes7.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | 2.3.0 ≤ v < 2.6.1 | 2.6.1 |
| apache apache-airflow-providers-cncf-kubernetes | 5.2.0 ≤ v < 7.0.0 | 7.0.0 |
| apache-airflowPyPI | 2.3.0 ≤ v < 2.6.1 | 2.6.1 |
| apache-airflow-providers-cncf-kubernetesPyPI | 5.2.0 ≤ v < 7.0.0 | 7.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.