CVE-2020-11978: fallo de gravedad alta en Apache Airflow
Publicada el · Actualizada el
100Vexday Risk Score
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
ssvc Actcvss 8.8epss 99%
de la publicación al arma310 días
Publicada en NVD16 jul
1ª PoC+310d
metasploit14 jul
CISA KEV+551d
probabilidad de explotación
99%top 1% de las CVE
explotación observada
síCISA + VulnCheck
6 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2022-07-18
Apply updates per vendor instructions.
En resumen
Los workflows de ejemplo de Apache Airflow contenían una falla que permitía a usuarios autenticados ejecutar comandos arbitrarios en el servidor con los privilegios del proceso Airflow. Esto podría dar a los atacantes control total del sistema.
Detalle técnico
Vulnerabilidad de inyección de comandos (CWE-78) en los DAGs de ejemplo de Airflow permite que usuarios autenticados logren ejecución remota de código mediante manipulación insegura de parámetros. La precondición requiere load_examples=True (por defecto). El impacto incluye ejecución de código con privilegios de worker/scheduler de Airflow según el ejecutor utilizado.
Resumen generado y traducido por IA a partir de la descripción oficial.
An issue was found in Apache Airflow versions 1.10.10 and below. A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow which would allow any authenticated user to run arbitrary commands as the user running airflow worker/scheduler (depending on the executor in use). If you already have examples disabled by setting load_examples=False in the config then you are not vulnerable.