Falta de Autenticação para Função Crítica no Apache Airflow

A ausência de autenticação na API de importação de variáveis do Apache Airflow abre uma brecha significativa para a exploração. Um atacante pode injetar variáveis maliciosas que, ao serem utilizadas em DAGs, podem executar comandos arbitrários no sistema onde o Airflow está rodando. Isso pode levar ao comprometimento completo do ambiente, permitindo o acesso a dados confidenciais, a instalação de malware ou a utilização do sistema para fins maliciosos. A capacidade de modificar variáveis do Airflow sem autenticação representa um risco de segurança crítico, especialmente em ambientes onde o Airflow é utilizado para orquestrar tarefas sensíveis.

Organizations heavily reliant on Apache Airflow for orchestrating complex workflows are at significant risk. Specifically, deployments with publicly accessible Airflow instances or those lacking robust network segmentation are particularly vulnerable. Airflow installations using older versions (prior to 2.1.3) and those with limited security monitoring are also at heightened risk.

• python / airflow:

import requests
import json

url = "http://<airflow_host>/api/v1/variables/import"
headers = {'Content-Type': 'application/json'}
data = {'key': 'test_variable', 'value': 'malicious_code'}

try:
    response = requests.post(url, headers=headers, data=json.dumps(data))
    print(f"Response Status Code: {response.status_code}")
    print(f"Response Content: {response.content}")
except requests.exceptions.RequestException as e:
    print(f"Error: {e}")

• linux / server: Monitor Airflow logs for unusual variable import activity or errors related to variable manipulation. Use journalctl -u airflow to filter for relevant log entries. • generic web: Check Airflow server access logs for requests to /api/v1/variables/import originating from unexpected IP addresses or user agents.

1. 2022-05-24Disclosure

   disclosure

2. 2022-05-24Patch

   patch

1. Reservado2021-08-11
2. Publicada2022-05-24
3. Modificada2024-09-11
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2021-38540 é a atualização para a versão 2.1.3 ou superior do Apache Airflow. Em ambientes onde a atualização imediata não é possível, considere restringir o acesso à API de importação de variáveis através de regras de firewall ou proxies reverso. Implementar autenticação robusta para todos os usuários que precisam acessar a API também pode ajudar a mitigar o risco. Monitore logs do Airflow em busca de atividades suspeitas, como tentativas de acesso não autorizado à API de importação de variáveis.