Vulnerabilidad en Apache Airflow (CVE-2025-30473)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)

Fecha de publicación:

07/04/2025

Última modificación:

11/04/2025

Descripción

Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL (&#39;Inyección SQL&#39;) en el proveedor SQL común de Apache Airflow. Al usar la cláusula de partición en SQLTableCheckOperator como parámetro (un patrón recomendado), el usuario autenticado de la interfaz de usuario podía inyectar un comando SQL arbitrario al activar el DAG, exponiendo la cláusula de partición al usuario. Esto permitía al usuario que activaba el DAG escalar privilegios para ejecutar dichos comandos arbitrarios, algo que normalmente no tendría. Este problema afecta al proveedor SQL común de Apache Airflow: versiones anteriores a la 1.24.1. Se recomienda actualizar a la versión 1.24.1, que soluciona el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto