Analityczne wykorzystywanie plików cookies
Krytyczna luka w Apache Airflow umożliwiająca zdalne wykonanie kodu
Krytyczna luka w Apache Airflow umożliwia zdalne wykonanie kodu. Zalecana aktualizacja do wersji 3.3.0 i ograniczenie deserializacji.
- CVSS
- 9.8 CRITICAL
- EPSS
- 76.02%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- airflow
Co wiadomo
W Apache Airflow wykryto poważną lukę w funkcji BaseSerialization.deserialize(), która pozwala na nieograniczone importowanie klas kontrolowanych przez atakującego podczas ładowania zserializowanego DAG. Atakujący mogą osadzić złośliwy trigger w DAG, co umożliwia zdalne wykonanie kodu na serwerze API lub Schedulerze.
Wpływ biznesowy
Luka ta narusza granice bezpieczeństwa Airflow, umożliwiając kodowi autora DAG wykonanie się w procesach, gdzie nie powinno to mieć miejsca, co może prowadzić do przejęcia kontroli nad serwerem API lub Schedulerem. Organizacje korzystające z Airflow muszą traktować tę lukę jako krytyczną, gdyż może ona skutkować poważnymi naruszeniami bezpieczeństwa i przerwami w działaniu usług.
Rekomendowane działania administratora
Zaleca się niezwłoczną aktualizację Apache Airflow do wersji 3.3.0 lub nowszej. Dodatkowo, w środowiskach, gdzie zaufanie do autorów DAG jest ograniczone, warto skonfigurować parametr [core] allowed_deserialization_classes, ograniczając go do wąskiej listy dozwolonych klas. Należy również przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz ograniczyć ekspozycję sieciową serwerów Airflow. Wsparcie DataHouse obejmuje weryfikację wersji, zarządzanie aktualizacjami oraz pomoc w ograniczaniu ekspozycji i monitorowaniu środowiska.