Falta de Autenticación para Función Crítica en Apache Airflow

La gravedad de esta vulnerabilidad radica en la facilidad con la que un atacante puede explotarla. Al no requerir autenticación, cualquier usuario externo puede acceder al punto final de importación de variables. Esto permite la manipulación de variables de Airflow utilizadas en los DAGs, lo que puede llevar a una amplia gama de consecuencias. Un atacante podría inyectar código malicioso en las variables, que luego se ejecutaría como parte de la ejecución del DAG. Esto podría resultar en la ejecución de comandos arbitrarios en el servidor de Airflow, el acceso a datos sensibles almacenados en las variables, o la interrupción completa del flujo de trabajo de Airflow. La falta de autenticación la convierte en una vulnerabilidad de alta prioridad que requiere atención inmediata.

Organizations heavily reliant on Apache Airflow for orchestrating complex workflows are at significant risk. Specifically, deployments with publicly accessible Airflow instances or those lacking robust network segmentation are particularly vulnerable. Airflow installations using older versions (prior to 2.1.3) and those with limited security monitoring are also at heightened risk.

• python / airflow:

import requests
import json

url = "http://<airflow_host>/api/v1/variables/import"
headers = {'Content-Type': 'application/json'}
data = {'key': 'test_variable', 'value': 'malicious_code'}

try:
    response = requests.post(url, headers=headers, data=json.dumps(data))
    print(f"Response Status Code: {response.status_code}")
    print(f"Response Content: {response.content}")
except requests.exceptions.RequestException as e:
    print(f"Error: {e}")

• linux / server: Monitor Airflow logs for unusual variable import activity or errors related to variable manipulation. Use journalctl -u airflow to filter for relevant log entries. • generic web: Check Airflow server access logs for requests to /api/v1/variables/import originating from unexpected IP addresses or user agents.

1. 2022-05-24Disclosure

   disclosure

2. 2022-05-24Patch

   patch

1. Reservado2021-08-11
2. Publicada2022-05-24
3. Modificada2024-09-11
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2021-38540 es actualizar Apache Airflow a la versión 2.1.3 o superior. Si la actualización inmediata no es posible, se recomienda restringir el acceso al punto final de importación de variables a una red interna confiable. Implementar una solución de Web Application Firewall (WAF) puede ayudar a bloquear solicitudes maliciosas dirigidas a este punto final. Además, se debe revisar y auditar las variables de Airflow existentes para identificar y eliminar cualquier variable que pueda ser vulnerable a la inyección de código. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el punto final de importación de variables requiere autenticación.