Apache Airflow vulnerable a Inyección de Código en el contexto del servidor web a través de la tabla LogTemplate

Un atacante con privilegios de autor de DAG puede explotar esta vulnerabilidad para ejecutar código malicioso en el servidor web de Airflow. Esto podría permitir el robo de datos sensibles, la modificación de la configuración del sistema, o incluso el control total del servidor. El impacto es significativo, ya que un atacante podría comprometer la integridad y confidencialidad de los datos procesados por Airflow. La ejecución del código se realiza en el contexto del servidor web, lo que amplía el alcance del ataque y permite un posible movimiento lateral dentro de la infraestructura. La vulnerabilidad se aprovecha al visualizar información histórica de tareas, lo que implica que cualquier usuario con acceso a esta funcionalidad podría ser explotado si no se toman las medidas de seguridad adecuadas.

Organizations utilizing Apache Airflow versions 2.9.3rc1 and earlier, particularly those with DAG Authors who have extensive permissions, are at significant risk. Shared hosting environments where multiple users have DAG Author roles should be especially vigilant, as a compromised account could impact the entire infrastructure. Environments relying on legacy configurations or custom log template history implementations are also more vulnerable.

• python / airflow:

import airflow
# Check Airflow version
print(airflow.__version__)
# Monitor database logs for suspicious queries related to log template history

• linux / server:

# Check Airflow process for unusual activity
ps aux | grep airflow
# Monitor Airflow logs for errors or suspicious entries
journalctl -u airflow -f

1. 2026-02-24Disclosure

   disclosure

1. Reservado2024-12-22
2. Publicada2026-02-24
3. Modificada2026-03-02
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2024-56373 es actualizar Apache Airflow a la versión 2.11.1 o superior, donde la funcionalidad responsable de la vulnerabilidad ha sido deshabilitada por defecto. Si la actualización no es posible de inmediato, se puede considerar una modificación manual del nombre del archivo de registro histórico para evitar la manipulación de la base de datos. Como medida adicional, se recomienda revisar y fortalecer los permisos de los usuarios de DAG, limitando el acceso a las funcionalidades críticas. Después de la actualización, confirmar la mitigación verificando que la funcionalidad de historial de plantillas de registro no sea vulnerable a la manipulación de la base de datos.