CVE-2024-45784: falha de alta gravidade em Apache Airflow
Apache Airflow: Sensitive configuration values are not masked in the logs by default
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Apache Airflow antes da versão 2.10.3 não mascara automaticamente valores sensíveis de configuração (como senhas e chaves de API) nos logs de tarefas, permitindo que usuários não autorizados que acessem os logs descubram e usem indevidamente esses segredos.
Versões do Airflow <2.10.3 carecem de mascaramento padrão de variáveis de configuração sensíveis na saída de logs de tarefas, possibilitando que autores de DAG ou atacantes com acesso aos logs extraiam credenciais. A vulnerabilidade requer apenas acesso aos logs, sem privilégios especiais; a mitigação na versão 2.10.3 implementa mascaramento automático de segredos.
No mesmo produto, das mais perigosas para as menos.