Apache Airflow vulnerável a Injeção de Código no contexto do web-server via tabela LogTemplate

Um atacante explorando essa vulnerabilidade pode obter acesso não autorizado ao servidor web do Airflow, permitindo a execução de comandos arbitrários com os privilégios do usuário do servidor web. Isso pode levar à exfiltração de dados confidenciais, modificação de dados, instalação de malware ou até mesmo o controle total do sistema. A exploração bem-sucedida depende da capacidade do atacante de manipular o histórico de modelos de log, o que requer um certo nível de acesso e conhecimento do sistema Airflow. O impacto é significativo, pois a execução de código arbitrário pode comprometer a integridade e a confidencialidade dos dados e sistemas.

Organizations utilizing Apache Airflow versions 2.9.3rc1 and earlier, particularly those with DAG Authors who have extensive permissions, are at significant risk. Shared hosting environments where multiple users have DAG Author roles should be especially vigilant, as a compromised account could impact the entire infrastructure. Environments relying on legacy configurations or custom log template history implementations are also more vulnerable.

• python / airflow:

import airflow
# Check Airflow version
print(airflow.__version__)
# Monitor database logs for suspicious queries related to log template history

• linux / server:

# Check Airflow process for unusual activity
ps aux | grep airflow
# Monitor Airflow logs for errors or suspicious entries
journalctl -u airflow -f

1. 2026-02-24Disclosure

   disclosure

1. Reservado2024-12-22
2. Publicada2026-02-24
3. Modificada2026-03-02
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2024-56373 é atualizar o Apache Airflow para a versão 2.11.1 ou superior, que inclui a correção para essa vulnerabilidade. Se a atualização imediata não for possível, a funcionalidade de histórico de modelos de log pode ser desativada. Alternativamente, os administradores podem modificar manualmente o nome do arquivo de log histórico para evitar a exploração. É crucial revisar as permissões dos autores de DAG para garantir que eles não tenham acesso desnecessário ao banco de dados do Airflow. Após a atualização, confirme a correção verificando se o histórico de modelos de log não pode mais ser manipulado por usuários não autorizados.