Saurabh Banawar

فشل أداة إخفاء الأسرار (secrets masker) في تصنيف خصائص الاتصال `access key` و`connection string` على أنها حساسة. وهذا يسمح للمستخدمين الذين لديهم أذونات قراءة بعرض هذه القيم في واجهة مستخدم الاتصال (Connection UI). بالإضافة إلى ذلك، إذا تم تسجيل اتصال ما عن طريق الخطأ في السجلات، فستصبح هذه القيم مكشوفة. يستخدم Azure Service Bus هذه الخصائص لتخزين البيانات الحساسة، وقد يتأثر أيضًا مقدمو الخدمات الآخرون الذين يستخدمون الحقول نفسها.

عدم الوضوح فيما يتعلق بمسؤوليات مدير النشر (Deployment Manager) في ضمان أمان عمليات النشر. لم تكن بعض الافتراضات المتعلقة بنموذج الأمان وعزل أحمال العمل ومصادقة JWT واضحة بما يكفي، مما قد يؤدي إلى تكوينات غير آمنة. يتحمل مدير النشر المسؤولية النهائية عن تأمين عملية النشر.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Apache Airflow السابقة للإصدار 3.2.0 الوصف يعاني Apache Airflow من مشكلة تتمثل في بقاء رموز JWT صالحة بعد تسجيل خروج المستخدم، مما قد يسمح بالوصول غير المصرح به في حالة اعتراض الرمز. لم يتم إبطال صلاحية رمز JWT المرتبط بمصادقة المستخدم عند تسجيل الخروج. وقد يسمح ذلك للمهاجم الذي يعترض الرمز بإعادة استخدامه للوصول غير المصرح به. التوصيات قم بالترقية إلى الإصدار 3.2.0 أو أحدث لحل هذه المشكلة.

ثغرة أمنية متوسطة الخطورة في Grafana Alerting تكشف عناوين URL الحساسة لنقاط اتصال DingDing للمشاهدين. قد تؤدي هذه المشكلة إلى تسرب البيانات.

تؤثر المشكلة على Apache Airflow Fab Provider عند تغيير كلمة مرور أحد المستخدمين باستخدام واجهة سطر الأوامر (CLI) الخاصة بالإدارة، مما يؤدي إلى عدم انتهاء صلاحية الجلسة بشكل كافٍ. وهذا يسمح للمستخدمين المسجلين بالدخول بالبقاء متصلين حتى بعد تغيير كلمة المرور. لا تحدث المشكلة عند تغيير كلمة المرور عبر خادم الويب.

Name of the Vulnerable Software and Affected Versions: Apache Airflow versions before 2.10.3 Description: The issue is related to the exposure of sensitive configuration variables in task logs. This could allow unauthorized users to access critical data, potentially compromising the security of the Airflow deployment. The estimated number of potentially affected devices worldwide is over 54,000, as indicated by a search on ZoomEye. Recommendations: To resolve the issue, users should upgrade to Airflow 2.10.3 or the latest version. If you suspect that DAG authors could have logged the secret values to the logs and that your logs are not additionally protected, it is also recommended that you update those secrets.

Name of the Vulnerable Software and Affected Versions: Apache Airflow versions prior to 2.10.3 Description: The issue allows authenticated users with audit log access to see sensitive values in audit logs that they should not see. This occurs when sensitive variables are set via the Airflow CLI, resulting in the values being stored unencrypted in the Airflow database. The risk is limited to users with audit log access. Recommendations: For Apache Airflow versions prior to 2.10.3, upgrade to Airflow 2.10.3 or a later version to address this issue. Additionally, users who previously used the CLI to set secret variables should manually delete entries with those variables from the log table.

The issue allows for application-wide CSRF bypass by removing the CSRF parameter and value. It fails to reject requests that lack an `x-csrf-token` header, which may allow attackers to carry actions on behalf of other users on all endpoints.

An issue allows a remote attacker to reset a registered user's password when the debug toolbar is enabled, successfully recovering the password.