Saurabh Banawar

O mascarador de segredos não marcou as propriedades de conexão `access key` e `connection string` como nomes sensíveis. Isso permite que usuários com permissão de leitura visualizem esses valores na Interface de Usuário de Conexão. Além disso, se uma Conexão for acidentalmente registrada em logs, esses valores podem ser expostos. O Azure Service Bus utiliza essas propriedades para armazenar dados sensíveis, e outros provedores que utilizem os mesmos campos também podem ser afetados.

Falta de clareza em relação às responsabilidades do Gerente de Implantação (Deployment Manager) para garantir implantações seguras. Certas suposições sobre o modelo de segurança, isolamento de carga de trabalho e autenticação JWT não eram suficientemente explícitas, o que poderia levar a configurações inseguras. O Gerente de Implantação é o responsável final por garantir a segurança da implantação.

Name of the Vulnerable Software and Affected Versions Apache Airflow versões anteriores a 3.2.0 Description O Apache Airflow é afetado por um problema em que os tokens JWT permanecem válidos após o logout do usuário, potencialmente permitindo acesso não autorizado se o token for interceptado. O token JWT associado à autenticação do usuário não era invalidado após o logout. Isso poderia permitir que um invasor que interceptasse o token o reutilizasse para acesso não autorizado. Recommendations Atualize para a versão 3.2.0 ou posterior para resolver este problema.

Uma falha de severidade média no Grafana Alerting expõe URLs sensíveis de pontos de contato do DingDing para visualizadores. Este problema pode levar à exposição de dados.

O problema afeta o Apache Airflow Fab Provider quando a senha de um usuário é alterada usando a CLI de administração, levando à expiração de sessão insuficiente. Isso permite que usuários logados permaneçam conectados mesmo após a alteração da senha. O problema não ocorre quando a senha é alterada por meio do servidor web.

Nome do software vulnerável e versões afetadas: Versões do Apache Airflow anteriores à 2.10.3 Descrição: O problema está relacionado à exposição de variáveis de configuração confidenciais nos registros de tarefas. Isso poderia permitir que usuários não autorizados acessassem dados críticos, comprometendo potencialmente a segurança da implantação do Airflow. O número estimado de dispositivos potencialmente afetados em todo o mundo é superior a 54.000, conforme indicado por uma pesquisa no ZoomEye. Recomendações: Para resolver o problema, os usuários devem atualizar para o Airflow 2.10.3 ou a versão mais recente. Se você suspeitar que os autores de DAGs possam ter registrado os valores secretos nos logs e que seus logs não estejam protegidos adicionalmente, também é recomendável que você atualize esses segredos.

Nome do software vulnerável e versões afetadas: Versões do Apache Airflow anteriores à 2.10.3 Descrição: A vulnerabilidade permite que usuários autenticados com acesso aos registros de auditoria visualizem valores confidenciais nesses registros que não deveriam ter acesso. Isso ocorre quando variáveis confidenciais são definidas por meio da CLI do Airflow, fazendo com que os valores sejam armazenados sem criptografia no banco de dados do Airflow. O risco se limita aos usuários com acesso aos registros de auditoria. Recomendações: Para versões do Apache Airflow anteriores à 2.10.3, atualize para o Airflow 2.10.3 ou uma versão posterior para resolver este problema. Além disso, os usuários que anteriormente usavam a CLI para definir variáveis secretas devem excluir manualmente as entradas com essas variáveis da tabela de logs.

The issue allows for application-wide CSRF bypass by removing the CSRF parameter and value. It fails to reject requests that lack an `x-csrf-token` header, which may allow attackers to carry actions on behalf of other users on all endpoints.

An issue allows a remote attacker to reset a registered user's password when the debug toolbar is enabled, successfully recovering the password.