PT-2026-71048 · Apache Airflow · Apache Airflow Google Provider
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
apache-airflow-providers-google versões anteriores a 22.3.0
Description
O backend de segredos do Google Cloud Secret Manager no provedor Google falha ao aplicar o escopo de equipe ao resolver Conexões e Variáveis. Embora a variável
team name seja aceita pelo backend, ela é descartada na fronteira de chamada interna, fazendo com que as pesquisas sejam resolvidas em relação a nomes de segredos agnósticos à equipe. Em implantações que utilizam o modo multi-equipe, isso permite que uma tarefa ou DAG pertencente a uma equipe resolva e obtenha as credenciais completas de uma Conexão ou Variável pertencente a outra equipe.Recommendations
Atualize para a versão 22.3.0 ou posterior do apache-airflow-providers-google.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Airflow Google Provider