Apache Airflow possui possibilidade de Execução de Código de Autor do DAG em airflow-scheduler

Um atacante que explore esta vulnerabilidade pode obter controle total sobre o scheduler do Apache Airflow, comprometendo todo o ambiente. Isso pode levar à execução de comandos arbitrários no servidor, roubo de dados confidenciais, modificação de DAGs existentes ou até mesmo a interrupção completa do serviço. A exploração bem-sucedida pode resultar em um impacto significativo na confidencialidade, integridade e disponibilidade dos dados e sistemas gerenciados pelo Airflow. A capacidade de executar código no contexto do scheduler permite a escalada de privilégios e o acesso a recursos sensíveis.

Organizations heavily reliant on Apache Airflow for data orchestration and ETL processes are at significant risk. Specifically, teams with less stringent access controls for DAG authors, or those using Airflow in environments with sensitive data, are particularly vulnerable. Shared hosting environments where multiple users can create and deploy DAGs also increase the risk surface.

• python: Monitor Airflow logs for unusual process executions or errors related to DAG parsing.

import logging
logging.basicConfig(filename='airflow.log', level=logging.ERROR)
# Monitor for suspicious code execution attempts

• python: Check for modified DAG files with suspicious doc_md parameters.

# Example: Check for unusual characters in doc_md
with open('my_dag.py', 'r') as f:
    content = f.read()
    if 'doc_md=' in content:
        print('Potential vulnerability: doc_md parameter found')

• generic web: Examine Airflow web server access logs for requests containing unusual or encoded characters in the doc_md parameter. Look for patterns indicative of code injection attempts.

1. 2024-07-17Disclosure

   disclosure

1. Reservado2024-07-01
2. Publicada2024-07-17
3. Modificada2026-02-04
4. EPSS atualizado2026-04-02

A mitigação primária para o CVE-2024-39877 é a atualização imediata para o Apache Airflow versão 2.9.3 ou superior. Se a atualização imediata não for possível, considere restringir o acesso ao scheduler e implementar revisões rigorosas de todos os DAGs antes da implantação. Implementar controles de acesso baseados em função (RBAC) para limitar as permissões dos autores de DAGs pode ajudar a reduzir o risco. Monitore os logs do Airflow em busca de atividades suspeitas relacionadas à manipulação do parâmetro doc_md. Após a atualização, confirme a correção verificando a versão do Airflow com airflow version e inspecionando os logs em busca de erros relacionados à vulnerabilidade.