Vulnerabilidad en Apache Airflow (CVE-2023-37379)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

23/08/2023

Última modificación:

13/02/2025

Descripción

Apache Airflow, en versiones anteriores a la 2.7.0, contiene una vulnerabilidad de seguridad que puede ser explotada por un usuario autenticado que posea privilegios de edición de conexión. Esta vulnerabilidad permite al usuario acceder a la información de conexión y explotar la función de conexión de prueba enviando muchas peticiones, lo que provoca una denegación de servicio (DoS) en el servidor. Además, actores maliciosos pueden aprovechar esta vulnerabilidad para establecer conexiones dañinas con el servidor. Se recomienda encarecidamente a los usuarios de Apache Airflow que actualicen a la versión 2.7.0 o posterior para mitigar el riesgo asociado a esta vulnerabilidad. Además, se recomienda a los administradores que revisen y ajusten los permisos de usuario para restringir el acceso a funcionalidades sensibles, reduciendo la superficie de ataque.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto