PT-2026-56175 · Apache · Apache Airflow
CVSS v3.1
9.8
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات apache-airflow الأقدم من 3.3.0
الوصف
يسمح خطأ في الدالة
BaseSerialization.deserialize() باستخدام import string() دون قيود لمسارات الفئات التي يتحكم فيها المهاجم عندما يقوم المجدول (Scheduler) أو خادم واجهة برمجة التطبيقات (API Server) بتحميل مخطط DAG متسلسل. يمكن لمؤلف مخطط DAG تضمين مشغل ضار في مخطط DAG لتنفيذ تعليمات برمجية عن بُعد على خادم واجهة برمجة التطبيقات (API Server) أو عملية المجدول (Scheduler)، متجاوزًا الحدود الأمنية التي تمنع تنفيذ تعليمات برمجية مؤلف مخطط DAG داخل تلك العمليات.التوصيات
قم بالترقية إلى إصدار apache-airflow 3.3.0 أو أحدث.
قم بتقييد إعداد
[core] allowed deserialization classes ليقتصر على قائمة مسموح بها محدودة في عمليات النشر التي تكون فيها الثقة في مؤلفي DAG محدودة.استغلال
إصلاح
RCE
DoS
Deserialization of Untrusted Data
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Apache Airflow