Ontbrekende Authenticatie voor Kritieke Functie in Apache Airflow

Deze kwetsbaarheid stelt een aanvaller in staat om ongeautoriseerd variabelen toe te voegen of te wijzigen die in Airflow Directed Acyclic Graphs (DAGs) worden gebruikt. Een aanvaller kan bijvoorbeeld een schadelijke variabele injecteren die, wanneer de DAG wordt uitgevoerd, code uitvoert op de server. Dit kan resulteren in volledige controle over het systeem, data-exfiltratie, of het verstoren van de workflow. De impact is aanzienlijk, aangezien een succesvolle exploit kan leiden tot een compromittering van de gehele Airflow-omgeving en de onderliggende infrastructuur. Het is vergelijkbaar met scenario's waarbij configuratiebestanden of andere gevoelige data via onbeveiligde endpoints toegankelijk zijn.

Organizations heavily reliant on Apache Airflow for orchestrating complex workflows are at significant risk. Specifically, deployments with publicly accessible Airflow instances or those lacking robust network segmentation are particularly vulnerable. Airflow installations using older versions (prior to 2.1.3) and those with limited security monitoring are also at heightened risk.

• python / airflow:

import requests
import json

url = "http://<airflow_host>/api/v1/variables/import"
headers = {'Content-Type': 'application/json'}
data = {'key': 'test_variable', 'value': 'malicious_code'}

try:
    response = requests.post(url, headers=headers, data=json.dumps(data))
    print(f"Response Status Code: {response.status_code}")
    print(f"Response Content: {response.content}")
except requests.exceptions.RequestException as e:
    print(f"Error: {e}")

• linux / server: Monitor Airflow logs for unusual variable import activity or errors related to variable manipulation. Use journalctl -u airflow to filter for relevant log entries. • generic web: Check Airflow server access logs for requests to /api/v1/variables/import originating from unexpected IP addresses or user agents.

1. 2022-05-24Disclosure

   disclosure

2. 2022-05-24Patch

   patch

1. Gereserveerd2021-08-11
2. Gepubliceerd2022-05-24
3. Gewijzigd2024-09-11
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar Apache Airflow versie 2.1.3 of hoger. Indien een upgrade momenteel niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de variable import endpoint via een firewall of reverse proxy. Configureer de proxy om alleen verkeer van vertrouwde bronnen toe te staan. Het implementeren van een Web Application Firewall (WAF) met regels die ongeautoriseerde requests naar het endpoint blokkeren, kan ook helpen. Controleer de Airflow logs op verdachte activiteit, zoals ongebruikelijke variabelen die worden aangemaakt of gewijzigd.