CVE-2020-11978

Yüksek CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 8.8
EPSS: 99.2%
CWE: CWE-78
KEV Durumu: Evet

Yayım tarihi: 17 Temmuz 2020 · CISA KEV son iyileştirme tarihi: 18 Temmuz 2022

Etkilenen: apache airflow

Apache Airflow 1.10.10 ve önceki sürümlerinde bir sorun bulundu. Airflow ile birlikte gelen örnek DAG'lardan birinde uzaktan kod/komut enjeksiyon zafiyeti keşfedildi ve bu, herhangi bir kimlik doğrulaması yapılmış kullanıcıya, kullanılan yürütücüye bağlı olarak airflow worker/scheduler'ı çalıştıran kullanıcı olarak keyfi komutlar çalıştırma izni verecekti. Eğer zaten config'de load_examples=False ayarlayarak örnekleri devre dışı bırakmışsanız, zafiyetin etkisine maruz kalmıyorsunuz.

Orijinal açıklama (İngilizce)

An issue was found in Apache Airflow versions 1.10.10 and below. A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow which would allow any authenticated user to run arbitrary commands as the user running airflow worker/scheduler (depending on the executor in use). If you already have examples disabled by setting load_examples=False in the config then you are not vulnerable.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.