Validación Incorrecta de Certificados en el hook de mongo de apache airflow

Un atacante que explote esta vulnerabilidad podría obtener acceso no autorizado a los datos almacenados en la base de datos MongoDB a la que se conecta Apache Airflow. La falta de validación de certificados SSL permite a un atacante interceptar y modificar el tráfico de red, inyectando código malicioso que se ejecutará en el servidor de Airflow con los privilegios del usuario que ejecuta el DAG. Esto podría resultar en la exfiltración de información sensible, la modificación de datos críticos o incluso el control total del sistema. La severidad crítica de esta vulnerabilidad se debe a la facilidad de explotación y el potencial impacto en la confidencialidad, integridad y disponibilidad de los datos.

Organizations using Apache Airflow to manage data pipelines and interacting with MongoDB databases are at risk, particularly those relying on the apache-airflow-providers-mongo package. Environments where SSL is enabled for Mongo connections without proper certificate validation are especially vulnerable. Shared hosting environments utilizing Airflow and MongoDB should be prioritized for remediation.

• python / airflow:

import airflow
from airflow.providers.mongo.hooks.mongo import MongoHook

# Check for allow_insecure setting in Airflow connections
for conn_id in airflow.configuration.get('connections'):
    hook = MongoHook(conn_id=conn_id)
    if hasattr(hook.conn, 'extra_defo'):
        if 'allow_insecure' in hook.conn.extra_defo and hook.conn.extra_defo['allow_insecure'] == True:
            print(f"VULNERABLE: Connection {conn_id} has allow_insecure enabled.")

1. 2024-02-20Disclosure

   disclosure

1. Reservado2024-02-06
2. Publicada2024-02-20
3. Modificada2025-05-01
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-25141 es actualizar a la versión 4.0.0 de apache-airflow-providers-mongo. Si la actualización no es inmediatamente posible, se recomienda deshabilitar temporalmente la conexión SSL a MongoDB o, si esto no es factible, revisar y endurecer la configuración de SSL para asegurar que la validación de certificados esté habilitada y se utilicen certificados válidos. Monitorear los logs de Airflow en busca de conexiones sospechosas o errores relacionados con SSL puede ayudar a detectar intentos de explotación. Después de la actualización, confirme que la validación de certificados SSL está funcionando correctamente revisando los logs de conexión a MongoDB.