CVE-2025-54831
Açıklama
Apache Airflow 3, Connections içerisindeki hassas bilgilerin işlenmesine yönelik bir değişiklik getirmiştir. Buradaki amaç, hassas bağlantı alanlarına erişimi yalnızca Connection Editing Users ile sınırlandırmak ve böylece hassas değerler için etkili bir "yalnızca yazılabilir" modeli uygulamaktır. Airflow 3.0.3 sürümünde bu model istemeden ihlal edilmiştir: hassas bağlantı bilgileri, hem API hem de kullanıcı arayüzü üzerinden READ izinlerine sahip kullanıcılar tarafından görüntülenebilmekteydi. Bu durum aynı zamanda `AIRFLOW__CORE__HIDE_SENSITIVE_VAR_CONN_FIELDS` yapılandırma seçeneğini de devre dışı bırakmaktaydı. Bu sorun, hassas bilgilerin bağlantı düzenleyicilerine sunulmasının hedeflenen ve belgelenmiş davranış olduğu Airflow 2.x sürümlerini etkilememektedir. Airflow 3.0.3 kullanıcılarının, Airflow sürümünü >=3.0.4 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache-airflow3.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | 3.0.3 | — |
| apache-airflowPyPI | 3.0.3 ≤ v < 3.0.4, v ≤ 3.0.3-NA | 3.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.