CVE-2026-81862

Apache Airflow'un Teradata sağlayıcısı, bulut depolama kimlik bilgilerini doğrudan SQL ifadelerine gömmektedir. Bucket özel olduğunda ve herhangi bir `teradata_authorization_name` yapılandırılmadığında — ki bu her iki operatör için de varsayılan kimlik bilgisi yoludur — `S3ToTeradataOperator` ve `AzureBlobStorageToTeradataOperator`, kaynak bucket'ın kimlik bilgilerini `CREATE MULTISET TABLE ... LOCATION` ifadesine düz metin dizileri olarak yerleştirmektedir. İfade daha sonra günlüğe kaydedilmekte ve yürütülmektedir, böylece kimlik bilgileri operatörün kontrolü dışındaki iki yere ulaşmaktadır. İki operatör farklı kanallar üzerinden farklı kimlik bilgilerini açığa çıkarmaktadır ve dağıtımlar her ikisini de kontrol etmelidir. `S3ToTeradataOperator`, değerlerini `s3_hook.get_credentials()` fonksiyonundan alır; bu fonksiyon bir örnek profili veya IRSA altında, Airflow'un gizleme mekanizmasına (secrets masker) asla kaydedilmemiş olan çalışma zamanı AWS kimlik bilgilerini döndürür ve STS oturum belirteci çalışma zamanında oluşturulduğu için bir AWS bağlantısı yapılandırılmış olsa bile maskelenmez. Bu kimlik bilgileri, DAG üzerinde günlük görüntüleme izni olan herhangi bir kullanıcı tarafından okunabilir şekilde **Airflow görev günlüğünde** görünür. `AzureBlobStorageToTeradataOperator` ise depolama hesabı anahtarını bağlantıdan aldığı için maskeleme aracı genellikle görev günlüğü kopyasını sansürler; ancak buradaki risk Teradata tarafındadır. **Her iki** operatör de kimlik bilgilerini Teradata'nın DBQL sorgu günlüklerine ve canlı izleme görünümlerine yazar; burada Airflow'un maskelemesi hiçbir zaman uygulanmaz ve değerler ilgili sistemin günlük saklama süresi boyunca kalıcı olur. Bu durum, özel bir bucket veya konteynere karşı Teradata `AUTHORIZATION` nesnesi olmadan bu operatörlerden herhangi birini kullanan dağıtımları etkiler. Kullanıcıların, kimlik bilgisi içeren ifadenin Airflow görev günlüğüne girmesini engelleyen `apache-airflow-providers-teradata` `3.7.0` veya daha yeni bir sürüme yükseltmeleri önerilir. Yükseltme işlemi, Airflow'un sansürleyemediği Teradata sorgu günlüklerinden ve izleme görünümlerinden kimlik bilgilerini kaldırmaz: kullanıcılar, kimlik bilgilerinin asla satır içine eklenmemesi için `teradata_authorization_name` parametresini bir Teradata `AUTHORIZATION` nesnesi ile yapılandırmalı ve daha önce satır içi yol aracılığıyla kullanılan tüm kimlik bilgilerini yenilemelidir.