漏洞预警 | Apache Airflow权限管理不当、资源标识符控制不当漏洞

0x00 漏洞编号

• CVE-2023-42781

• CVE-2023-47037

0x01 危险等级

• 中危
  

0x02 漏洞概述

Apache Airflow是一个开源的、分布式的任务调度和工作流自动化平台，可用于编排、调度和监控数据处理任务和数据流。

0x03 漏洞详情

CVE-2023-42781

漏洞类型：权限管理不当

影响：获取敏感信息

简述：Apache Airflow在2.7.3 版本之前存在权限管理不当，当攻击者拥有读取特定DAG访问权限的用户凭证时，可以读取特定DAG以外的其他DAG任务实例信息。

CVE-2023-47037

漏洞类型：资源标识符控制不当

影响：获取敏感信息

简述：Apache Airflow在2.7.3之前版本中存在资源标识符控制不当，由于在 CVE-2023-40611 中没能修复完全，拥有DAG视图访问权限的攻击者在提交备注时可以修改DAG的其他内容，这可能使得他们修改配置参数、开始日期等详细信息。

0x04 影响版本

• Apache Airflow < 2.7.3

0x05 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://airflow.apache.org/

原文始发于微信公众号（浅安安全）：漏洞预警 | Apache Airflow权限管理不当、资源标识符控制不当漏洞