Amogh Desai

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات apache-airflow الأقدم من 3.3.0 **الوصف** يسمح خطأ في الدالة `BaseSerialization.deserialize()` باستخدام `import string()` دون قيود لمسارات الفئات التي يتحكم فيها المهاجم عندما يقوم المجدول (Scheduler) أو خادم واجهة برمجة التطبيقات (API Server) بتحميل مخطط DAG متسلسل. يمكن لمؤلف مخطط DAG تضمين مشغل ضار في مخطط DAG لتنفيذ تعليمات برمجية عن بُعد على خادم واجهة برمجة التطبيقات (API Server) أو عملية المجدول (Scheduler)، متجاوزًا الحدود الأمنية التي تمنع تنفيذ تعليمات برمجية مؤلف مخطط DAG داخل تلك العمليات. **التوصيات** قم بالترقية إلى إصدار apache-airflow 3.3.0 أو أحدث. قم بتقييد إعداد `[core] allowed deserialization classes` ليقتصر على قائمة مسموح بها محدودة في عمليات النشر التي تكون فيها الثقة في مؤلفي DAG محدودة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache Airflow الأقدم من 3.2.0 **الوصف** يمكن لمؤلفي Dag إنشاء حمولة XCom تسمح لخادم الويب بتنفيذ تعليمات برمجية عشوائية، متجاوزين بذلك القيد الذي يمنعهم عادةً من تنفيذ تعليمات برمجية في سياق خادم الويب. **التوصيات** الترقية إلى Apache Airflow 3.2.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache Airflow الأقدم من 3.2.0 **الوصف** يمكن لمؤلفي Dag إنشاء حمولة XCom ضارة تتيح لهم تنفيذ تعليمات برمجية عشوائية ضمن سياق خادم الويب، متجاوزين بذلك القيود القياسية التي تمنعهم من تنفيذ التعليمات البرمجية في تلك البيئة. **التوصيات** الترقية إلى Apache Airflow 3.2.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Airflow السابقة للإصدار 3.2.0 **الوصف** عدم الوضوح فيما يتعلق بمسؤوليات مدير النشر (Deployment Manager) في ضمان أمان عمليات النشر. لم تكن بعض الافتراضات المتعلقة بنموذج الأمان وعزل أحمال العمل ومصادقة JWT واضحة بما يكفي، مما قد يؤدي إلى تكوينات غير آمنة. يتحمل مدير النشر المسؤولية النهائية عن تأمين عملية النشر. **التوصيات** الترقية إلى الإصدار 3.2.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache Airflow الأقدم من 3.1.6 **الوصف** عندما تتجاوز حقول النموذج المعروضة في DAG القيمة `max templated field length`، قد يتم الكشف عن القيم الحساسة في نص عادي في واجهة «النماذج المعروضة». ويرجع ذلك إلى تسلسل هذه الحقول باستخدام مثيل لمُخفي الأسرار لم يتضمن أنماط `mask secret()` المسجلة من قبل المستخدم، مما أدى إلى إخفاء غير موثوق للأسرار قبل اقتطاعها وعرضها. **التوصيات** قم بالتحديث إلى الإصدار 3.1.6 أو أحدث لحل هذه المشكلة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache Airflow الأقدم من 3.1.4 **الوصف** يوجد ثغرة أمنية في Apache Airflow تتيح للمستخدمين المصادق عليهم عبر الواجهة عرض قيم سرية داخل النماذج المعروضة. وقد حدث ذلك بسبب عدم إخفاء هذه الأسرار بشكل صحيح، مما قد يؤدي إلى منح وصول غير مصرح به إلى معلومات حساسة. **التوصيات** قم بالتحديث إلى الإصدار 3.1.4 لحل هذه المشكلة.

Name of the Vulnerable Software and Affected Versions: Apache Airflow versions before 2.10.3 Description: The issue is related to the exposure of sensitive configuration variables in task logs. This could allow unauthorized users to access critical data, potentially compromising the security of the Airflow deployment. The estimated number of potentially affected devices worldwide is over 54,000, as indicated by a search on ZoomEye. Recommendations: To resolve the issue, users should upgrade to Airflow 2.10.3 or the latest version. If you suspect that DAG authors could have logged the secret values to the logs and that your logs are not additionally protected, it is also recommended that you update those secrets.

Name of the Vulnerable Software and Affected Versions: Apache Airflow version 2.10.0 Description: The issue allows an authenticated attacker with only DAG trigger permission to execute arbitrary commands. This is related to the example DAG `example inlet event extra.py` shipped with Apache Airflow. It is recommended to review DAGs based on this example and to avoid exposing example DAGs in deployments. Recommendations: For Apache Airflow version 2.10.0, upgrade to version 2.10.1 or later to resolve the issue. If you must expose the example DAGs, consider upgrading as the primary mitigation measure. As a temporary workaround, consider restricting access to the example DAGs until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** Apache Airflow versions prior to 2.10.1 **Description** The issue allows DAG authors to add local settings to the DAG folder and get it executed by the scheduler, where the scheduler is not supposed to execute code submitted by the DAG author. Users are advised to upgrade to a fixed version. **Recommendations** For Apache Airflow versions prior to 2.10.1, upgrade to version 2.10.1 or later to fix the vulnerability. As a temporary workaround, consider restricting access to the DAG folder to prevent unauthorized execution of local settings.

**Name of the Vulnerable Software and Affected Versions** Apache Airflow versions prior to 2.10.0 **Description** The issue allows the developer of a malicious provider to execute a cross-site scripting attack when clicking on a provider documentation link. This requires the provider to be installed on the web server and the user to click the provider link. **Recommendations** For Apache Airflow versions prior to 2.10.0, upgrade to 2.10.0 or later, which fixes this issue. As a temporary workaround, consider restricting access to provider documentation links to minimize the risk of exploitation.

Name of the Vulnerable Software and Affected Versions: Apache Airflow versions prior to 2.9.3 Description: The issue is related to the lack of protection for the web page structure in the Provider component of Apache Airflow, allowing an authenticated attacker to inject a malicious link when installing a provider. This can lead to a cross-site scripting (XSS) attack. Recommendations: For Apache Airflow versions prior to 2.9.3, upgrade to version 2.9.3 to fix the issue.