Anish Giri

يؤدي خطأ في `KubernetesExecutor` إلى تمرير رموز JSON Web Tokens (JWT) — التي تستخدمها حاويات العمل (worker pods) للمصادقة عبر واجهة برمجة تطبيقات التنفيذ (Execution API) — إلى حاوية العمل كمعلمات لسطر الأوامر. وتظهر هذه الرموز في مواصفات الحاوية. يمكن لمستخدم واجهة المستخدم (UI) أو واجهة برمجة التطبيقات (API) المصادق عليه، والذي يتمتع بوصول Kubernetes للقراءة فقط إلى المجموعة، مثل إذن `pods/get` في مساحة اسم Airflow، استرداد JWT عبر إخراج الأمر `kubectl describe pod`. وهذا يسمح للمستخدم باستدعاء نقاط نهاية واجهة برمجة التطبيقات (API) للتنفيذ التي تغير الحالة لتشغيل DAG، أو مسح عمليات التشغيل، أو قراءة وكتابة المتغيرات والاتصالات وXCom، مما يؤدي فعليًا إلى انتحال صفة مهمة قيد التشغيل.

تتعرض رموز JWT التي يستخدمها العمال في Kubernetes Executors للمستخدمين الذين يتمتعون بحق الوصول للقراءة فقط إلى Kubernetes Pods. ويتيح هذا التعرض للمستخدمين ذوي الصلاحيات المحدودة تنفيذ إجراءات مخصصة فقط لتشغيل المهام عبر Task SDK، مما قد يتيح تعديل حالة قاعدة بيانات Airflow لتلك المهام.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Apache Airflow السابقة للإصدار 3.2.0 الوصف يعاني Apache Airflow من مشكلة تتمثل في بقاء رموز JWT صالحة بعد تسجيل خروج المستخدم، مما قد يسمح بالوصول غير المصرح به في حالة اعتراض الرمز. لم يتم إبطال صلاحية رمز JWT المرتبط بمصادقة المستخدم عند تسجيل الخروج. وقد يسمح ذلك للمهاجم الذي يعترض الرمز بإعادة استخدامه للوصول غير المصرح به. التوصيات قم بالترقية إلى الإصدار 3.2.0 أو أحدث لحل هذه المشكلة.