Apache Airflow 中关键功能缺少身份验证

此漏洞的潜在影响非常严重。攻击者可以通过修改 Airflow 变量来执行任意代码，从而完全控制受影响的系统。例如，攻击者可以修改 DAG 中的变量，使其执行恶意脚本，从而窃取敏感数据、破坏系统或发起进一步的攻击。由于变量导入端点未进行身份验证，任何未经授权的用户都可以利用此漏洞，这使得攻击面非常广泛。攻击者可能利用此漏洞进行数据泄露，例如访问数据库凭据或敏感业务数据。此外，攻击者还可以利用此漏洞进行横向移动，攻击其他连接到 Airflow 集群的系统。

Organizations heavily reliant on Apache Airflow for orchestrating complex workflows are at significant risk. Specifically, deployments with publicly accessible Airflow instances or those lacking robust network segmentation are particularly vulnerable. Airflow installations using older versions (prior to 2.1.3) and those with limited security monitoring are also at heightened risk.

• python / airflow:

import requests
import json

url = "http://<airflow_host>/api/v1/variables/import"
headers = {'Content-Type': 'application/json'}
data = {'key': 'test_variable', 'value': 'malicious_code'}

try:
    response = requests.post(url, headers=headers, data=json.dumps(data))
    print(f"Response Status Code: {response.status_code}")
    print(f"Response Content: {response.content}")
except requests.exceptions.RequestException as e:
    print(f"Error: {e}")

• linux / server: Monitor Airflow logs for unusual variable import activity or errors related to variable manipulation. Use journalctl -u airflow to filter for relevant log entries. • generic web: Check Airflow server access logs for requests to /api/v1/variables/import originating from unexpected IP addresses or user agents.

1. 2022-05-24Disclosure

   disclosure

2. 2022-05-24Patch

   patch

1. 已保留2021-08-11
2. 发布日期2022-05-24
3. 修改日期2024-09-11
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级至 Apache Airflow 2.1.3 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制对变量导入端点的访问，只允许授权用户访问。其次，实施严格的输入验证，以防止攻击者注入恶意代码。第三，监控 Airflow 日志，以检测任何可疑活动。如果升级导致问题，可以考虑回滚到之前的版本，并同时实施上述缓解措施。可以使用 WAF 或代理来过滤对变量导入端点的请求，阻止恶意请求。建议配置 Airflow 的安全组，限制对变量导入端点的网络访问。