CVE-2026-68871
Açıklama
Apache Airflow'un Yandex sağlayıcısındaki Yandex Lockbox sır yönetimi arka ucu, ekip kapsamlı bir Connection veya Variable kimliği için ekip kapsamlı arama başarısız olduğunda, ekipten bağımsız arama üzerinden çözümleme yapıyordu. Bu arka ucun çoklu ekip modunda çalıştığı bir dağıtımda, bir ekipten gelen çağrıcı, diğer ekibin ad alanını belirten bir kimlik sağlayarak başka bir ekibe ait olan bir sırrı çözümleyebilir ve ilgili kimlik bilgilerini tamamen elde edebilirdi. Çoklu ekip modunun etkinleştirilmesi ve bu arka ucun kullanılması dışında olağan dışı bir yapılandırmaya gerek yoktur. Kullanıcıların, bir ekip ad alanını tanımlayabilecek kimlikler için ekipten bağımsız geri dönüşü reddeden apache-airflow-providers-yandex 4.5.1 veya daha yeni bir sürüme yükseltmeleri önerilir.
Nasıl düzeltilir
- apache-airflow-providers-yandex4.5.1 ya da sonraki bir sürüm
- apache apache-airflow-providers-apache-yandex4.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache-airflow-providers-yandexPyPI | v < 4.5.1 | 4.5.1 |
| apache apache-airflow-providers-apache-yandex | v < 4.5.1 | 4.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.