Apache Airflow < 1.10.11 多个漏洞

critical Nessus 插件 ID 162136

语言：

简介

远程主机上安装的应用程序缺少供应商提供的安全更新。

描述

Apache Airflow 的版本低于 1.10.11。因此，该应用程序受到多个漏洞的影响，其中包括：

- 在 Apache Airflow 1.10.10 及更低版本中发现一个问题。使用 celeryExecutor 时，如果攻击者可以直接连接到代理（Redis、RabbitMQ），则可能注入命令，从而导致 Celery 工作进程运行任意命令。 (CVE-2020-11981)

- 在 Apache Airflow 1.10.10 及更低版本中发现一个问题。使用 CeleryExecutor 时，如果攻击者可直接连接到代理（Redis、RabbitMQ），则可能将恶意负载直接插入代理，这可导致对 Worker 进行反序列化攻击（从而导致远程代码执行）。 (CVE-2020-11982)

- 在 Apache Airflow 1.10.10 及更低版本中发现一个问题。在 Airflow 随附的其中一个示例 DAG 中发现了远程代码/命令注入漏洞，该漏洞将允许任何经过身份验证的用户以运行 Airflow 工作线程/计划程序（取决于使用的执行程序）的用户身份运行任意命令。如果您已通过在配置中设置 load_examples=False 禁用示例，则不会受到攻击。 (CVE-2020-11978)

- Airflow 的实验 API 之前的默认设置是允许所有未经身份验证的 API 请求，但这对错过此事实的用户构成了安全风险。从 Airflow 1.10.11 开始，默认值已更改为拒绝所有请求，具体说明请参阅 https://airflow.apache.org/docs/1.10.11/security.html#api-authentication。请注意，此更改针对新安装的程序修复了此问题，但现有用户需要将其配置更改为默认 [api]auth_backend = airflow.api.auth.backend.deny_all，如更新指南中所述：
https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default(CVE-2020-13927)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。