The version of Apache Airflow is prior to 1.10.11. It is, therefore, affected by multiple vulnerabilities, including the following:

  - An issue was found in Apache Airflow versions 1.10.10 and below. When using CeleryExecutor, if an attacker     can connect to the broker (Redis, RabbitMQ) directly, it is possible to inject commands, resulting in the     celery worker running arbitrary commands. (CVE-2020-11981)

  - An issue was found in Apache Airflow versions 1.10.10 and below. When using CeleryExecutor, if an attack     can connect to the broker (Redis, RabbitMQ) directly, it was possible to insert a malicious payload     directly to the broker which could lead to a deserialization attack (and thus remote code execution) on     the Worker. (CVE-2020-11982)

  - An issue was found in Apache Airflow versions 1.10.10 and below. A remote code/command injection     vulnerability was discovered in one of the example DAGs shipped with Airflow which would allow any     authenticated user to run arbitrary commands as the user running airflow worker/scheduler (depending on     the executor in use). If you already have examples disabled by setting load_examples=False in the config     then you are not vulnerable. (CVE-2020-11978)

  - The previous default setting for Airflow's Experimental API was to allow all API requests without     authentication, but this poses security risks to users who miss this fact. From Airflow 1.10.11 the     default has been changed to deny all requests by default and is documented at     https://airflow.apache.org/docs/1.10.11/security.html#api-authentication. Note this change fixes it for     new installs but existing users need to change their config to default     [api]auth_backend = airflow.api.auth.backend.deny_all as mentioned in the Updating Guide:
    https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default     (CVE-2020-13927)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Apache Airflow のバージョンは 1.10.11 より前です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Apache Airflow バージョン 1.10.10 以前で問題が見つかりました。CeleryExecutor を使用する場合、攻撃者がブローカー (Redis、RabbitMQ) に直接接続できる場合、コマンドを注入して、celery worker が任意のコマンドを実行する可能性があります。(CVE-2020-11981)

  -Apache Airflowバージョン 1.10.10 以前で問題が見つかりました。攻撃がブローカー (Redis、RabbitMQ) に直接接続できる場合、CeleryExecutor を使用すると、悪意のあるペイロードがブローカーに直接挿入され、ワーカーで逆シリアル化攻撃 (したがってリモートコードの実行) につながる可能性があります。(CVE-2020-11982)

  -Apache Airflowバージョン 1.10.10 以前で問題が見つかりました。Airflow に同梱されている DAG の例の 1 つに、リモートコード / コマンドインジェクションの脆弱性が発見されました。これにより、認証されたユーザーが、(使用中の executor に応じて) airflow worker / scheduler を実行しているユーザーとして任意のコマンドを実行する可能性があります。config で load_examples = False を設定することですでにサンプルの例が無効になっている場合は、脆弱ではありません。(CVE-2020-11978)

  - Airflow の実験的 API の以前のデフォルト設定は、認証なしですべての API リクエストを許可することでしたが、これにより、この事実を見落とすユーザーにセキュリティリスクが生じます。Airflow 1.10.11 から、デフォルトですべてのリクエストを拒否するようにデフォルトが変更され、https://airflow.apache.org/docs/1.10.11/security.html#api-authentication で文書化されています。注意 : この変更により、新規インストールの場合は修正されますが、既存のユーザーは、構成をデフォルト [api]auth_backend = airflow.api.auth.backend.deny_all に変更する必要があります。これは、更新ガイド : 
    https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default に記載されています (CVE-2020-13927)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Apache Airflow 的版本舊於 1.10.11。因此會受到包括以下在內的多個弱點影響：

  - 在 Apache Airflow 1.10.10 及以下版本中發現一個問題。使用 CeleryExecutor 時，如果攻擊者可直接連線至代理程式 (Redis、RabbitMQ)，則可插入命令，進而導致 celery 背景工作執行任意命令。(CVE-2020-11981)

  - 在 Apache Airflow 1.10.10 及以下版本中發現一個問題。使用 CeleryExecutor 時，如果攻擊者可直接連線至代理程式 (Redis、RabbitMQ)，則可將惡意承載直接插入代理程式，這會導致在 Worker 上發生還原序列化攻擊 (進而導致遠端程式碼執行)。(CVE-2020-11982)

  - 在 Apache Airflow 1.10.10 及以下版本中發現一個問題。在 Airflow 隨附的其中一個 DAG 範例中發現一個遠端程式碼/命令插入弱點，其可允許任何經驗證的使用者以執行 Airflow 背景工作/排程器的使用者身分執行任意命令 (視使用中的執行程式而定)。如果您已在組態中設定 load_examples=False 以停用範例，則不會受到影響。(CVE-2020-11978)

  - Airflow 的實驗性 API 之前的預設設定是允許所有 API 要求不需驗證，但這會對遺漏此事實的使用者造成安全性風險。從 Airflow 1.10.11 開始，預設已變更為預設拒絕所有要求，並記錄在 https://airflow.apache.org/docs/1.10.11/security.html#api-authentication 中。請注意，此變更針對新安裝修正了此問題，但現有使用者需要將組態變更為預設 [api]airflow.api.auth.backend.deny_all，如《更新指南》中所述：
    https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default(CVE-2020-13927)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

Apache Airflow 的版本低于 1.10.11。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 在 Apache Airflow 1.10.10 及更低版本中发现一个问题。使用 celeryExecutor 时，如果攻击者可以直接连接到代理（Redis、RabbitMQ），则可能注入命令，从而导致 Celery 工作进程运行任意命令。 (CVE-2020-11981)

  - 在 Apache Airflow 1.10.10 及更低版本中发现一个问题。使用 CeleryExecutor 时，如果攻击者可直接连接到代理（Redis、RabbitMQ），则可能将恶意负载直接插入代理，这可导致对 Worker 进行反序列化攻击（从而导致远程代码执行）。 (CVE-2020-11982)

  - 在 Apache Airflow 1.10.10 及更低版本中发现一个问题。在 Airflow 随附的其中一个示例 DAG 中发现了远程代码/命令注入漏洞，该漏洞将允许任何经过身份验证的用户以运行 Airflow 工作线程/计划程序（取决于使用的执行程序）的用户身份运行任意命令。如果您已通过在配置中设置 load_examples=False 禁用示例，则不会受到攻击。 (CVE-2020-11978)

  - Airflow 的实验 API 之前的默认设置是允许所有未经身份验证的 API 请求，但这对错过此事实的用户构成了安全风险。从 Airflow 1.10.11 开始，默认值已更改为拒绝所有请求，具体说明请参阅 https://airflow.apache.org/docs/1.10.11/security.html#api-authentication。请注意，此更改针对新安装的程序修复了此问题，但现有用户需要将其配置更改为默认 [api]auth_backend = airflow.api.auth.backend.deny_all，如更新指南中所述：
    https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default(CVE-2020-13927)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
162136	Apache Airflow < 1.10.11 Multiple Vulnerabilities	Nessus	Misc.	2022/6/13	2023/10/20	critical
162136	Apache Airflow < 1.10.11 の複数の脆弱性	Nessus	Misc.	2022/6/13	2023/10/20	critical
162136	Apache Airflow < 1.10.11 多個弱點	Nessus	Misc.	2022/6/13	2023/10/20	critical
162136	Apache Airflow < 1.10.11 多个漏洞	Nessus	Misc.	2022/6/13	2023/10/20	critical

検出

プラグインの検索

critical

critical

critical

critical