Apache Airflow: संवेदनशील Azure Service Bus कनेक्शन स्ट्रिंग (और संभवतः अन्य प्रदाता) को व्यू एक्सेस वाले उपयोगकर्ताओं को उजागर किया गया।

यह भेद्यता हमलावरों को Apache Airflow कनेक्शन UI के माध्यम से या लॉग फ़ाइलों में उजागर संवेदनशील डेटा तक पहुंचने की अनुमति दे सकती है। Azure Service Bus कनेक्शन के लिए, इसका मतलब है कि हमलावर accesskey और connectionstring को प्राप्त कर सकते हैं, जिससे उन्हें Azure Service Bus संसाधनों तक अनधिकृत पहुंच मिल सकती है। अन्य कनेक्शन प्रकारों के लिए जो समान फ़ील्ड का उपयोग करते हैं, हमलावर समान रूप से संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं, जैसे कि डेटाबेस क्रेडेंशियल या API कुंजियाँ। इस भेद्यता का उपयोग डेटा उल्लंघनों, अनधिकृत पहुंच और संभावित रूप से सिस्टम के नियंत्रण को प्राप्त करने के लिए किया जा सकता है। यदि हमलावर डेटाबेस क्रेडेंशियल प्राप्त करने में सक्षम है, तो वे डेटाबेस से संवेदनशील जानकारी निकाल सकते हैं या डेटा को संशोधित कर सकते हैं।

1. आरक्षित2026-01-30
2. प्रकाशित2026-04-15
3. EPSS अद्यतन2026-04-23

Apache Airflow संस्करण 3.1.8 में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप कनेक्शन UI में संवेदनशील डेटा को देखने से रोकने के लिए एक्सेस नियंत्रण को कड़ा कर सकते हैं। इसके अतिरिक्त, आप लॉगिंग को कॉन्फ़िगर कर सकते हैं ताकि संवेदनशील डेटा लॉग में लॉग न हो। वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके कनेक्शन UI और लॉग फ़ाइलों तक पहुंच को सीमित करना भी एक विकल्प है। सिग्मा या YARA पैटर्न का उपयोग करके लॉग में संवेदनशील डेटा की खोज के लिए निगरानी स्थापित करें। अपग्रेड के बाद, यह सत्यापित करें कि संवेदनशील डेटा अब कनेक्शन UI या लॉग फ़ाइलों में दिखाई नहीं दे रहा है।