Apache Airflow: उदाहरण_xcom dag में रेस कंडीशन के कारण RCE

यह भेद्यता हमलावर को Apache Airflow वर्कर पर मनमाना कोड निष्पादित करने की अनुमति देती है, जिससे सिस्टम पर पूर्ण नियंत्रण प्राप्त हो सकता है। हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है, सिस्टम को दूषित कर सकता है, या अन्य सिस्टम पर आगे बढ़ने के लिए इसका उपयोग कर सकता है। चूंकि UI उपयोगकर्ता पहले से ही अत्यधिक विश्वसनीय होते हैं, इसलिए इस भेद्यता को कम गंभीरता माना जाता है। उदाहरण के तौर पर, यदि कोई हमलावर XCom डेटा को संशोधित करने में सक्षम है, तो वे दुर्भावनापूर्ण कोड इंजेक्ट कर सकते हैं जो वर्कर द्वारा निष्पादित किया जाएगा। यह कोड सिस्टम पर किसी भी कार्रवाई को करने के लिए उपयोग किया जा सकता है, जैसे कि डेटा चोरी करना या सिस्टम को दूषित करना।

Organizations that have deployed Apache Airflow and are using or have previously used the example_xcom example in their custom DAGs are at risk. This includes teams that have copied and pasted code snippets from the Airflow documentation without proper security review. Shared hosting environments where multiple users have access to the Airflow UI are also particularly vulnerable.

• python / airflow: Inspect custom DAGs for instances of insecure XCom value reading patterns. Look for code that directly reads XCom values without proper sanitization or validation.

# Example of potentially vulnerable code
xcom_value = task_instance.xcom_pull(task_ids='upstream_task', key='my_key')
# ... use xcom_value without validation

• python / airflow: Review Airflow worker logs for any unusual code execution or errors related to XCom processing. • python / airflow: Check Airflow UI user permissions to ensure that only authorized users have the ability to modify XComs.

1. 2026-04-15Disclosure

   disclosure

1. आरक्षित2025-07-24
2. प्रकाशित2026-04-15
3. संशोधित2026-04-19
4. EPSS अद्यतन2026-04-22

इस भेद्यता को कम करने के लिए, Apache Airflow को संस्करण 3.2.0 में अपग्रेड करने की अनुशंसा की जाती है। यदि अपग्रेड संभव नहीं है, तो XCom डेटा को असुरक्षित तरीके से पढ़ने से बचने के लिए उदाहरण_xcom उदाहरण को अक्षम करें। इसके अतिरिक्त, XCom डेटा को पढ़ने के लिए उपयोग किए जाने वाले कोड की समीक्षा करें और सुनिश्चित करें कि यह सुरक्षित है। Apache Airflow के उदाहरण DAGs को उत्पादन वातावरण में सक्षम नहीं किया जाना चाहिए। यदि आप उदाहरण DAGs का उपयोग कर रहे हैं, तो सुनिश्चित करें कि आप सुरक्षा सर्वोत्तम प्रथाओं का पालन कर रहे हैं।