PT-2022-24256

CVE-2022-38170

Publicado

2022-09-02

Atualizado

2026-02-20

Descrição por

CVSS 4.0

5.7

Média

MétricasAV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.3.4

Descrição

O problema está relacionado a uma configuração insegura do umask no Apache Airflow quando executado com o sinalizador --daemon. Isso pode levar a uma condição de corrida, resultando em arquivos com permissão de gravação para todos no diretório raiz do Airflow. Usuários locais poderiam explorar essa vulnerabilidade para expor conteúdos de arquivos arbitrários por meio do servidor web.

Recomendações

Para versões anteriores à 2.3.4, atualize para a versão 2.3.4 ou posterior para resolver o problema. Como solução temporária, considere executar o Airflow sem o sinalizador --daemon até que a atualização seja aplicada. Restrinja o acesso ao diretório raiz do Airflow para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Harry Sintonen

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-732: Incorrect Permission Assignment for Critical Resource

CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization (\'Race Condition\')

Identificadores relacionados