CVE-2024-31869
Açıklama
Airflow 2.7.0 ile 2.8.4 arasındaki sürümlerde, "webserver.expose_config" yapılandırması "non-sensitive-only" olarak ayarlandığında, kimliği doğrulanmış bir kullanıcının "configuration" kullanıcı arayüzü sayfası üzerinden hassas sağlayıcı yapılandırmalarını görmesine izin veren bir güvenlik açığı bulunmaktadır (şu anda hassas yapılandırmalara sahip olan tek topluluk sağlayıcısı celery sağlayıcısıdır). Geçici çözüm olarak Airflow 2.9 sürümüne geçmeniz veya "expose_config" yapılandırmanızı False olarak değiştirmeniz önerilir. Bu durum, kullanıcı arayüzü yapılandırma sayfasıyla değil API ile ilgili olan CVE-2023-46288 https://github.com/advisories/GHSA-9qqg-mh7c-chfq ile benzerdir ancak ondan farklıdır.
Nasıl düzeltilir
- apache airflow2.9.0 ya da sonraki bir sürüm
- apache-airflow2.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | 2.7.0 ≤ v < 2.9.0 | 2.9.0 |
| apache-airflowPyPI | 2.7.0 ≤ v < 2.9.0 | 2.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.