PT-2022-5600

CVE-2022-40127

Publicado

2022-11-14

Atualizado

2026-02-20

Descrição por

CVSS 2.0

Alta

MétricasAV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Apache Airflow anteriores à 2.4.0

Descrição

Uma vulnerabilidade nos Example Dags do Apache Airflow está relacionada ao gerenciamento incorreto da geração de código. Esse problema permite que um invasor com acesso à interface do usuário (UI) e capaz de acionar DAGs execute comandos arbitrários por meio do parâmetro run id fornecido manualmente. A exploração dessa vulnerabilidade pode permitir que um invasor remoto execute comandos arbitrários.

Recomendações

Para versões anteriores à 2.4.0, atualize para a versão 2.4.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro run id nos DAGs afetados para minimizar o risco de exploração. Além disso, limitar o acesso à interface do usuário a usuários confiáveis pode ajudar a reduzir a superfície de ataque.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

Identificadores relacionados

CVE-2022-40127