CVE-2020-13927: تجاوز مصادقة واجهة برمجة التطبيقات التجريبية في Apache Airflow | Kitploit

CVE-2020-13927

حرجةتم النشر

تجاوز مصادقة واجهة برمجة التطبيقات التجريبية في Apache Airflow

تم النشر: 10‏/11‏/2020
محدث: 21‏/10‏/2025
تخصيص CNA: apache
الأدلة المرصودة: 02‏/06‏/2021

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

99.8‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 100.0‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

CISA معروف باستغلاله

يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.

ملخص

كان الإعداد الافتراضي السابق لـ Experimental API في Airflow يسمح بجميع طلبات API دون مصادقة، لكن هذا يشكل مخاطر أمنية للمستخدمين الذين يغفلون عن هذه الحقيقة. ابتداءً من Airflow 1.10.11 تغيّر الافتراضي إلى رفض جميع الطلبات افتراضيًا، وهو موثّق في https://airflow.apache.org/docs/1.10.11/security.html#api-authentication. لاحظ أن هذا التغيير يعالج المشكلة للتركيبات الجديدة، لكن المستخدمين الحاليين بحاجة إلى تغيير إعداداتهم إلى الافتراضي `[api]auth_backend = airflow.api.auth.backend.deny_all` كما هو مذكور في دليل التحديث: https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default

المصادر

Apache Airflow 1.10.10 - 'Example Dag' Remote Code Executionاستغلال
Pepe Berba · multiple · 02‏/06‏/2021

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.