Apache Airflow 存在Kubernetes配置文件泄露风险 (CVE-2023-51702)

漏洞类型 日志敏感信息泄露 发现时间 2024-01-24 漏洞等级 中危
MPS编号 MPS-9l6b-gqsm CVE编号 CVE-2023-51702 漏洞影响广度 广

漏洞危害

OSCS 描述
Apache Airflow 是一个开源的工作流自动化平台,Apache Airflow CNCF Kubernetes provider 是给 Airflow 提供Kubernetes支持的工具包。
Apache Airflow CNCF Kubernetes provider 5.2.0及之后版本中,当使用 Kubernetes 配置文件路径的可延迟模式进行身份验证时,Airflow worker 会将该配置文件序列化为字典并将其存储在元数据中,在不进行任何加密的情况下将其发送给触发器。同时,如果 Apache Airflow CNCF Kubernetes provider 与2.3.0至2.6.0之间的Airflow版本一起使用,配置字典将以纯文本的形式记录在触发器服务中,而不进行任何掩码处理,使得有权限访问元数据或触发器日志的用户可获取Kubernetes配置文件信息,并访问Kubernetes集群。
Apache Airflow CNCF Kubernetes provider 7.0.0版本停止了文件内容的序列化,而是通过提供文件路径以将内容读入触发器修复此漏洞。
参考链接:https://www.oscs1024.com/hd/MPS-9l6b-gqsm

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
apache-airflow-providers-cncf-kubernetes [5.2.0, 7.0.0) 升级 将组件 apache-airflow-providers-cncf-kubernetes 升级至 7.0.0 及以上版本
apache-airflow [2.3.0, 2.6.1) 升级 将组件 apache-airflow 升级至 2.6.1 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-9l6b-gqsm

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-9l6b-gqsm

https://nvd.nist.gov/vuln/detail/CVE-2023-51702

https://github.com/apache/airflow/pull/29498

https://github.com/apache/airflow/pull/30110

https://github.com/apache/airflow/pull/36492

https://lists.apache.org/thread/89x3q6lz5pykrkr1fkr04k4rfn9pvnv9

(0)
上一篇 2024年1月25日 下午4:00
下一篇 2024年1月25日 下午4:00

相关推荐

  • Node.js HTTP/2 CONTINUATION 拒绝服务漏洞 (CVE-2024-27983)

    漏洞类型 可达断言 发现时间 2024-04-04 漏洞等级 高危 MPS编号 MPS-i9bf-a843 CVE编号 CVE-2024-27983 漏洞影响广度 一般 漏洞危害 OSCS 描述 Node.js 是开源、跨平台的 JavaScript 运行时环境。CONTINUATION泛洪攻击被发现存在于多个HTTP/2协议实现中。 在受影响版本中,由于N…

    2024年4月6日
    0
  • Notepad++ Utf8_16_Read::convert 缓冲区溢出漏洞 (CVE-2023-40031)

    漏洞类型 经典缓冲区溢出 发现时间 2023-09-06 漏洞等级 高危 MPS编号 MPS-kvs6-ntuq CVE编号 CVE-2023-40031 漏洞影响广度 广 漏洞危害 OSCS 描述 Notepad++ 是一款开源的代码编辑器,Utf8_16_Read::convert 函数用于执行UTF16到UTF8的字符编码转换。 Notepad++ 8…

    2023年9月9日
    0
  • LangChain langchain-experimental 任意代码执行 (CVE-2024-27444)

    漏洞类型 代码注入 发现时间 2024-02-27 漏洞等级 高危 MPS编号 MPS-1t8v-pu7m CVE编号 CVE-2024-27444 漏洞影响广度 广 漏洞危害 OSCS 描述 LangChain Experimental 在 pal_chain/base.py 中未禁止对特定Python属性的访问,这些属性包括__import__、__su…

    2024年2月27日
    0
  • JeecgBoot <=3.5.1 存在sql注入漏洞 ( CVE-2023-34602)

    漏洞类型 SQL注入 发现时间 2023/6/19 漏洞等级 中危 MPS编号 MPS-okys-m9ai CVE编号 CVE-2023-34602 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的基于代码生成的快速开发平台。受影响版本中,由于 SystemApiController#queryTableDictItemsByCo…

    2023年8月31日
    0
  • Apache Hadoop YARN Secure Containers 权限提升漏洞 (CVE-2023-26031)

    漏洞类型 输入验证不恰当 发现时间 2023-11-16 漏洞等级 高危 MPS编号 MPS-2023-4973 CVE编号 CVE-2023-26031 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Hadoop是美国阿帕奇(Apache)基金会的一套开源的分布式系统基础架构。YARN Secure Containers功能用于在隔离的 lin…

    2023年11月17日
    0