CVE-2024-29735

Apache Airflow'da İzinlerin Uygun Şekilde Korunmaması zafiyeti bulunmaktadır. Bu sorun, Apache Airflow 2.8.2 ile 2.8.3 arasındaki sürümleri etkilemektedir. Airflow'un yerel dosya görev işleyicisi, varsayılan yapılandırmada günlük klasörünün tüm üst klasörleri için izinleri yanlış ayarlayarak bu klasörlerin Unix grubuna yazma erişimi eklemektedir. Airflow'un root kullanıcısı ile çalıştırılması durumunda (önerilmez), dosya sisteminin kök dizinine kadar olan tüm klasörlere grup yazma izni eklenmiştir. Günlük dosyalarınız ana dizinde saklanıyorsa, ana dizininizin grup tarafından yazılabilir hale gelmesi nedeniyle bu izin değişiklikleri SSH işlemlerini yürütme yeteneğinizi etkileyebilir. Bu sorun, Resmi Airflow Docker referans görüntülerini ( https://hub.docker.com/r/apache/airflow/ ) kullanan veya bunları genişleten kullanıcıları etkilememektedir; çünkü bu görüntüler zaten grup yazma izninin ayarlanmasını gerektirmektedir. Yalnızca Airflow'u yerel kurulum / virtualenv veya diğer Docker görüntülerini kullanarak kurduysanız etkilenirsiniz; ancak Docker konteynerleri amaçlandığı şekilde, yani Airflow bileşenlerinin diğer uygulamalar ve kullanıcılarla konteyner paylaşmadığı durumlarda kullanılıyorsa sorunun bir etkisi yoktur. Ayrıca, umask değeriniz 002 ise (grup yazma etkinse) -ki bu birçok Linux sisteminde varsayılandır- etkilenmemelisiniz. Konteyner dışında Airflow kullananlar için öneriler: * Airflow'u çalıştırmak için root kullanıyorsanız, Airflow kullanıcısını root olmayan bir kullanıcıyla değiştirin. * Apache Airflow sürümünü 2.8.4 veya üzerine yükseltin. * Yükseltme yapmayı tercih etmiyorsanız, https://airflow.apache.org/docs/apache-airflow/stable/configurations-ref.html#file-task-handler-new-folder-permissions değerini 0o755 olarak değiştirebilirsiniz (orijinal değer 0o775). * Daha önce Airflow görevlerini çalıştırdıysanız ve varsayılan umask değeriniz 022 ise (grup yazma devre dışıysa), Airflow bileşenlerini durdurmalı, tüm bileşenlerinizdeki AIRFLOW_HOME/logs izinlerini ve bu dizinin tüm üst dizinlerini kontrol etmeli ve tüm üst dizinler için grup yazma erişimini kaldırmalısınız.