Jens Scheffler

Existe uma falha no Airflow na qual o relatório de erros da interface do usuário (UI) poderia expor informações sensíveis passadas como argumentos de palavra-chave (`kwargs`) para operadores quando um Grafo Acíclico Direcionado (DAG) falhava durante a análise. Esta exposição estava limitada a usuários autenticados com permissão para visualizar o DAG afetado. O problema poderia levar à divulgação de segredos ou outros valores sensíveis incluídos dentro dos `kwargs`.

O problema está relacionado ao uso do cache do navegador da web contendo informações confidenciais no Apache Airflow. O Airflow não retornava um cabeçalho “Cache-Control” para conteúdo dinâmico, o que poderia resultar no armazenamento potencial de dados confidenciais no cache local do navegador. Isso poderia permitir que um invasor divulgasse informações protegidas por meio do cabeçalho Cache-Control.

A vulnerabilidade permite que um invasor autenticado injete dados maliciosos nos logs das instâncias de tarefa. Trata-se de uma vulnerabilidade de segurança crítica que permite que invasores injetem dados nos logs das instâncias de tarefa.

The issue is related to a stored XSS vulnerability that allows a DAG author to add unbounded and not-sanitized JavaScript in the parameter description field of the DAG. This JavaScript can be executed on the client side of any user who looks at the tasks in the browser sandbox, allowing modification of what the user sees in the browser. This opens up possibilities of misleading other users.

The issue is related to insufficient authentication of executed requests in Apache Airflow, allowing an attacker to trigger a DAG in a GET request without CSRF validation. This could enable a malicious website opened in the same browser as the Airflow UI to trigger the execution of DAGs without the user's consent.