CVE-2026-41018
Açıklama
Elasticsearch günlükleme sağlayıcısı, kimlik bilgilerini içeren bir `host` URL'si ile yapılandırıldığında (örneğin `https://user:[email protected]:9200`), gömülü kimlik bilgileri de dahil olmak üzere tüm ana bilgisayar URL'sini görev günlüklerine yazıyordu. Görev günlüğü okuma iznine sahip herhangi bir kullanıcı, arka uç kimlik bilgilerini ele geçirebilirdi. Kullanıcıların `apache-airflow-providers-elasticsearch` 6.5.3 veya daha yeni bir sürüme yükseltmeleri ve derinlemesine savunma önlemi olarak arka uç kimlik bilgilerini `[elasticsearch] host` URL'sine gömmek yerine gizli bir arka uç (secret backend) üzerinden yapılandırmaları önerilir.
Nasıl düzeltilir
- apache apache-airflow-providers-elasticsearch6.5.3 ya da sonraki bir sürüm
- apache-airflow-providers-elasticsearch6.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache apache-airflow-providers-elasticsearch | v < 6.5.3 | 6.5.3 |
| apache-airflow-providers-elasticsearchPyPI | v < 6.5.3 | 6.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.