CVE-2024-45498

Nome do software vulnerável e versões afetadas:

Apache Airflow versão 2.10.0

Descrição:

A vulnerabilidade permite que um invasor autenticado, com apenas permissão para acionar DAGs, execute comandos arbitrários. Isso está relacionado ao DAG de exemplo example inlet event extra.py fornecido com o Apache Airflow. Recomenda-se revisar os DAGs baseados nesse exemplo e evitar a exposição de DAGs de exemplo nas implantações.

Recomendações:

Para o Apache Airflow versão 2.10.0, atualize para a versão 2.10.1 ou posterior para resolver o problema. Se for necessário expor os DAGs de exemplo, considere a atualização como a principal medida de mitigação. Como solução alternativa temporária, considere restringir o acesso aos DAGs de exemplo até que o problema seja resolvido.