Amogh Desai

Uma falha na função `BaseSerialization.deserialize()` permite a execução irrestrita de `import string()` de caminhos de classe controlados por um invasor quando o Scheduler ou o API Server carrega um DAG serializado. Um autor de DAG pode inserir um gatilho malicioso em um DAG para obter a execução remota de código no processo do API Server ou do Scheduler, ultrapassando a barreira de segurança que impede que o código do autor do DAG seja executado nesses processos.

Autores de DAG podem criar um payload XCom que permite ao servidor web executar código arbitrário, ignorando a restrição que normalmente os impede de executar código no contexto do servidor web.

Autores de Dag podem criar um payload XCom malicioso que permite a execução de código arbitrário no contexto do servidor web, ignorando a restrição padrão que os impede de executar código nesse ambiente.

Falta de clareza em relação às responsabilidades do Gerente de Implantação (Deployment Manager) para garantir implantações seguras. Certas suposições sobre o modelo de segurança, isolamento de carga de trabalho e autenticação JWT não eram suficientemente explícitas, o que poderia levar a configurações inseguras. O Gerente de Implantação é o responsável final por garantir a segurança da implantação.

Quando campos de modelo renderizados em um DAG excedem `max templated field length`, valores sensíveis podem ser expostos em texto claro na interface de Modelos Renderizados. Isso se deve à serialização desses campos usando uma instância de mascarador de segredos que não incluía padrões `mask secret()` registrados pelo usuário, resultando em um mascaramento não confiável de segredos antes do truncamento e exibição.

Existe uma falha no Apache Airflow na qual usuários autenticados da interface poderiam visualizar valores secretos dentro de modelos renderizados. Isso ocorreu porque os segredos não foram devidamente ocultados, potencialmente concedendo acesso não autorizado a informações sensíveis.

Nome do software vulnerável e versões afetadas: Versões do Apache Airflow anteriores à 2.10.3 Descrição: O problema está relacionado à exposição de variáveis de configuração confidenciais nos registros de tarefas. Isso poderia permitir que usuários não autorizados acessassem dados críticos, comprometendo potencialmente a segurança da implantação do Airflow. O número estimado de dispositivos potencialmente afetados em todo o mundo é superior a 54.000, conforme indicado por uma pesquisa no ZoomEye. Recomendações: Para resolver o problema, os usuários devem atualizar para o Airflow 2.10.3 ou a versão mais recente. Se você suspeitar que os autores de DAGs possam ter registrado os valores secretos nos logs e que seus logs não estejam protegidos adicionalmente, também é recomendável que você atualize esses segredos.

Nome do software vulnerável e versões afetadas: Apache Airflow versão 2.10.0 Descrição: A vulnerabilidade permite que um invasor autenticado, com apenas permissão para acionar DAGs, execute comandos arbitrários. Isso está relacionado ao DAG de exemplo `example inlet event extra.py` fornecido com o Apache Airflow. Recomenda-se revisar os DAGs baseados nesse exemplo e evitar a exposição de DAGs de exemplo nas implantações. Recomendações: Para o Apache Airflow versão 2.10.0, atualize para a versão 2.10.1 ou posterior para resolver o problema. Se for necessário expor os DAGs de exemplo, considere a atualização como a principal medida de mitigação. Como solução alternativa temporária, considere restringir o acesso aos DAGs de exemplo até que o problema seja resolvido.

A vulnerabilidade permite que os autores de DAGs adicionem configurações locais à pasta do DAG e façam com que o agendador as execute, embora o agendador não deva executar código enviado pelo autor do DAG. Recomenda-se aos usuários que atualizem para uma versão corrigida.

A vulnerabilidade permite que o desenvolvedor de um provedor malicioso execute um ataque de script entre sites (XSS) ao clicar em um link da documentação do provedor. Para isso, é necessário que o provedor esteja instalado no servidor web e que o usuário clique no link do provedor.

Nome do software vulnerável e versões afetadas: Versões do Apache Airflow anteriores à 2.9.3 Descrição: O problema está relacionado à falta de proteção da estrutura da página da web no componente Provider do Apache Airflow, permitindo que um invasor autenticado insira um link malicioso ao instalar um provedor. Isso pode levar a um ataque de script entre sites (XSS). Recomendações: Para versões do Apache Airflow anteriores à 2.9.3, atualize para a versão 2.9.3 para corrigir o problema.