Apache Airflow tiene la posibilidad de Ejecución de Código de Autor de DAG en airflow-scheduler

La vulnerabilidad CVE-2024-39877 representa un riesgo significativo para las implementaciones de Apache Airflow. Un atacante con acceso de autor de DAG puede explotar esta falla para ejecutar código malicioso en el proceso del scheduler. Esto podría resultar en la toma de control completa del scheduler, permitiendo la ejecución de comandos arbitrarios en el servidor, el acceso a datos sensibles almacenados en Airflow (como credenciales de bases de datos o claves de API) y la manipulación de flujos de trabajo críticos. La capacidad de ejecutar código en el contexto del scheduler amplía significativamente el potencial de daño, ya que el scheduler tiene privilegios elevados dentro del entorno Airflow.

Organizations heavily reliant on Apache Airflow for data orchestration and ETL processes are at significant risk. Specifically, teams with less stringent access controls for DAG authors, or those using Airflow in environments with sensitive data, are particularly vulnerable. Shared hosting environments where multiple users can create and deploy DAGs also increase the risk surface.

• python: Monitor Airflow logs for unusual process executions or errors related to DAG parsing.

import logging
logging.basicConfig(filename='airflow.log', level=logging.ERROR)
# Monitor for suspicious code execution attempts

• python: Check for modified DAG files with suspicious doc_md parameters.

# Example: Check for unusual characters in doc_md
with open('my_dag.py', 'r') as f:
    content = f.read()
    if 'doc_md=' in content:
        print('Potential vulnerability: doc_md parameter found')

• generic web: Examine Airflow web server access logs for requests containing unusual or encoded characters in the doc_md parameter. Look for patterns indicative of code injection attempts.

1. 2024-07-17Disclosure

   disclosure

1. Reservado2024-07-01
2. Publicada2024-07-17
3. Modificada2026-02-04
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-39877 es actualizar Apache Airflow a la versión 2.9.3 o posterior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, se recomienda revisar cuidadosamente todos los DAGs existentes para identificar y eliminar cualquier manipulación maliciosa del parámetro docmd. Como medida temporal, se podría considerar la implementación de reglas en un proxy inverso o WAF para bloquear solicitudes con patrones sospechosos en el parámetro docmd. Después de la actualización, confirme la mitigación revisando los logs del scheduler en busca de intentos de explotación y verificando que los DAGs se ejecuten según lo esperado.