流行的工作流管理平台 Apache Airflow 中的一个漏洞可能会无意中暴露敏感的配置数据，从而危及系统安全。

该漏洞被追踪为 CVE-2024-45784，CVSS 得分为 7.5（高严重性），影响 2.10.3 之前的所有 Airflow 版本。它源于该平台默认情况下未能屏蔽任务日志中的敏感配置值。

这一疏忽意味着有向无环图 (DAG) 作者可能会无意中甚至故意记录 API 密钥、数据库凭证或其他重要机密等敏感信息。如果未经授权的用户访问了这些日志，他们就可能利用这些暴露的数据来破坏整个 Airflow 部署。

风险：

数据泄露： 攻击者可能获得机密信息，包括客户数据、财务记录或专有代码。

系统受损：暴露的凭证可让攻击者获得对关键系统和基础设施的控制权。

横向移动： 攻击者可利用被入侵的系统转移并访问网络的其他部分。

缓解措施：

Apache Airflow 团队已在 2.10.3 版本中解决了此漏洞。强烈建议所有用户立即升级到该版本或更高版本。

此外，企业应检查其 Airflow 日志，查看是否有任何可能暴露的机密。如果发现敏感信息，作为预防措施，务必轮换这些机密。

文章原文链接:https://www.anquanke.com/post/id/301947