evillm/cve-2020-11981-pocExploit de prueba de concepto para CVE-2020-11981 que apunta a la inyección de comandos de Apache Airflow a través del broker Redis, permitiendo la ejecución remota de código en workers vulnerables.
docker-compose up -d
VM (docker-container): 172.18.0.2
docker build -t scan11981 .
docker run -v /tmp/:/output --network exploit -t scan11981 --targets 172.18.0.2:6379 --output /output/result.txt
cat /tmp/result.txt
Descripción de la vulnerabilidad: la vulnerabilidad está relacionada con la inyección de comandos en Apache Airflow (versiones 1.10.10 e inferiores) al usar CeleryExecutor y Redis como intermediario (broker). Un atacante con acceso a Redis puede enviar tareas especialmente diseñadas que los trabajadores (workers) de Airflow ejecutan como comandos. Esto puede llevar a la ejecución de código arbitrario con los permisos del usuario bajo el cual se ejecuta Airflow.
Riesgos: RCE - control de la máquina.
Recomendaciones para la mitigación: actualizar Apache Airflow, la versión actual en este momento es 3.0.1; también se recomienda restringir el acceso al intermediario (Redis o RabbitMQ).