CVE-2026-65017
Açıklama
Apache Airflow'un Config API'si, çoklu takım dağıtımlarında takım kapsamlı hassas yapılandırma değerlerini maskelemiyordu. Bir yönetici çoklu takım modunu etkinleştirdiğinde ve Config API'sini dışa açtığında, yalnızca yapılandırma okuma erişimine sahip, sırra önceden erişimi olmayan kimliği doğrulanmış bir Viewer, takım kapsamlı bir Celery broker URL'sini, gömülü kimlik bilgileri dahil olmak üzere düz metin olarak okuyabiliyordu; eşdeğer genel seçenek ise doğru şekilde maskeleniyordu. Sır maskeleyici yalnızca temel bölüm ve seçenek adlarıyla eşleşiyor ve hassasiyet kontrolünden önce takım önekli bölümleri normalleştirmiyordu (CWE-200). Bu, CVE-2026-48828 ve CVE-2026-48892'den farklı bir maskeleyici atlatmasıdır: bu sorunları gidermek için apache-airflow 3.3.0 sürümüne yükseltme yapan dağıtımlar, bu takım kapsamlı varyanttan etkilenmeye devam etmektedir. Kullanıcıların, maskelemeden önce takım kapsamlı bölümleri normalleştiren apache-airflow 3.3.1 veya sonraki bir sürüme yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache airflow3.3.1 ya da sonraki bir sürüm
- apache-airflow3.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | 3.3.0 ≤ v < 3.3.1 | 3.3.1 |
| apache-airflowPyPI | 3.3.0 ≤ v < 3.3.1 | 3.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.