Vulnerabilidad en Apache Airflow (CVE-2024-45498)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

07/09/2024

Última modificación:

03/06/2025

Descripción

Ejemplo de DAG: example_inlet_event_extra.py incluido con Apache Airflow versión 2.10.0 tiene una vulnerabilidad que permite que un atacante autenticado con solo permiso de activación de DAG ejecute comandos arbitrarios. Si utilizó ese ejemplo como base de sus DAG, revise si no ha copiado el ejemplo peligroso; consulte https://github.com/apache/airflow/pull/41873 para obtener más información. Recomendamos no exponer los DAG de ejemplo en su implementación. Si debe exponer los DAG de ejemplo, actualice Airflow a la versión 2.10.1 o posterior.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.80

Gravedad 3.x

ALTA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:apache:airflow:2.10.0:-::::::

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en Apache Airflow (CVE-2024-45498)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información