Anish Giri

Um erro no `KubernetesExecutor` faz com que os tokens JSON Web Tokens (JWT), utilizados por pods de trabalho para se autenticarem na API de Execução, sejam passados para o contentor de trabalho como argumentos de linha de comando. Estes tokens ficam visíveis na especificação do pod. Um utilizador autenticado da UI ou API com acesso de leitura ao Kubernetes no cluster, como a permissão `pods/get` no namespace do Airflow, pode recuperar o JWT através da saída do comando `kubectl describe pod`. Isto permite que o utilizador chame endpoints de mutação de estado da API de Execução para disparar execuções de DAG, limpar execuções ou ler e escrever Variáveis, Conexões e XComs, simulando a identidade de uma tarefa em execução.

Tokens JWT utilizados por workers em Kubernetes Executors são expostos a usuários com acesso apenas de leitura a Pods do Kubernetes. Essa exposição permite que usuários com permissões limitadas executem ações destinadas apenas a tarefas em execução via Task SDK, permitindo potencialmente a modificação do estado do Banco de Dados do Airflow para essas tarefas.

Name of the Vulnerable Software and Affected Versions Apache Airflow versões anteriores a 3.2.0 Description O Apache Airflow é afetado por um problema em que os tokens JWT permanecem válidos após o logout do usuário, potencialmente permitindo acesso não autorizado se o token for interceptado. O token JWT associado à autenticação do usuário não era invalidado após o logout. Isso poderia permitir que um invasor que interceptasse o token o reutilizasse para acesso não autorizado. Recommendations Atualize para a versão 3.2.0 ou posterior para resolver este problema.