Opensec Intelligence

Apache Airflow's CLI records its arguments in the audit log but masks secrets by argument position, so some supported command shapes leave secrets in cleartext, for example a trailing `--description` on Variable commands, `--conn-extra`, and the inline `--password` of `airflow keycloak-auth-manager` commands. A user who can read audit events but is denied Variable and Connection access can retrieve those values through the event-log API. Users of apache-airflow are recommended to upgrade to 3.4.0 or later. Audit-log entries written before the upgrade keep the cleartext values: purge the affected entries and rotate the secrets they contain. Airflow 2.x is also affected; Airflow 2 has reached end of life and will not receive a fix, so Airflow 2 users should upgrade to Apache Airflow 3.4.0 or later.

O provisionamento de múltiplas equipes no provedor Keycloak do Apache Airflow concede a cada função de equipe acesso de leitura global aos logs de auditoria. Isso ocorre na função ` attach team permissions()`. Em implantações onde o modo de múltiplas equipes é habilitado usando o gerenciador de autenticação Keycloak para o provisionamento de equipes, qualquer membro autenticado de uma equipe pode acessar eventos de auditoria de outras equipes por meio da interface do usuário ou do endpoint da API de log de eventos.

O endpoint de logout da Core API revoga apenas tokens de sessão fornecidos através do cookie ` token`. Se um cliente utilizar um cabeçalho de autorização bearer para autenticação durante o logout, o endpoint retorna uma resposta de sucesso sem revogar o token. Isso permite que o token permaneça válido até a sua expiração, que é de 24 horas por padrão. Um invasor que possua uma cópia deste token pode manter o acesso à conta da vítima mesmo após a vítima ter efetuado o logout.

A alteração da senha de um usuário através do endpoint PATCH de edição de usuário do Administrador não invalida as sessões existentes baseadas em banco de dados. Isso permite que um invasor que possua o cookie de sessão de uma vítima mantenha acesso total à conta mesmo após a redefinição da senha. Este problema afeta especificamente implantações que utilizam o gerenciador de autenticação FAB com sessões baseadas em banco de dados. O gatilho é uma alteração rotineira de senha realizada por um administrador ou pelo próprio usuário, não sendo necessária a interação direta do invasor com o endpoint.