Christos Bisias

**Nome do Software Vulnerável e Versões Afetadas** Apache Airflow Apache Kafka provider versões 1.15.0 até 1.9.9 **Descrição** O software resolve strings de caminho pontilhado encontradas no campo `extra` de uma conexão Kafka em callables Python usando a função `import string`, sem uma lista de permissões (allowlist). Esses callables são então entregues ao cliente confluent-kafka, que os invoca. Em implantações onde o produtor de eventos Kafka está habilitado via `dag run events enabled` ou `task instance events enabled`, o cliente é construído dentro do processo do agendador (scheduler). Isso permite que um usuário com privilégios apenas para editar conexões do Airflow obtenha a execução de código arbitrário no plano de controle, contornando o modelo de segurança do Airflow que limita usuários de configuração de conexão à execução de código em workers. Este problema afeta brokers simples e Amazon MSK, enquanto o Google Managed Kafka não é afetado, pois esse caminho de código sobrescreve a variável `oauth cb` fornecida pelo usuário. **Recomendações** Atualize para a versão 2.0.0 ou posterior do apache-airflow-providers-apache-kafka.