CVE-2024-56373
Açıklama
(Zaten oldukça fazla yetkiye sahip olan) DAG Yazarı, normalde yapamaması gereken bir şekilde Airflow 2 veritabanını manipüle ederek web sunucusu bağlamında rastgele kod çalıştırabilir; bu durum, bir kullanıcının geçmiş görev bilgilerini görüntülemesi sonucunda web sunucusu bağlamında (sunucu tarafında) potansiyel olarak uzaktan kod çalıştırmaya yol açar. Buna neden olan işlevsellik (günlük şablon geçmişi), 2.11.1 sürümünde varsayılan olarak devre dışı bırakılmıştır ve kullanıcılar günlük şablon geçmişini kullanmaya devam etmek istiyorlarsa Airflow 3 sürümüne yükseltmelidir. Ayrıca, son günlük şablon değişikliğinden önce oluşturulan geçmiş günlükleri görmek istiyorlarsa, geçmiş günlük dosyası adlarını manuel olarak değiştirebilirler.
Nasıl düzeltilir
- apache airflow2.11.1 ya da sonraki bir sürüm
- apache-airflow2.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | v < 2.11.1 | 2.11.1 |
| apache-airflowPyPI | v < 2.11.1 | 2.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.