evillm/cve-2020-11981-pocCVE-2020-11981에 대한 개념 증명 익스플로잇으로, Redis 브로커를 통한 Apache Airflow 명령어 삽입을 대상으로 하여 취약한 워커에서 원격 코드 실행을 가능하게 합니다.
docker-compose up -d
VM (docker-container): 172.18.0.2
docker build -t scan11981 .
docker run -v /tmp/:/output --network exploit -t scan11981 --targets 172.18.0.2:6379 --output /output/result.txt
cat /tmp/result.txt
취약점 설명: Apache Airflow(버전 1.10.10 이하)에서 CeleryExecutor와 Redis를 브로커로 사용할 때 발생하는 명령어 주입 취약점입니다. Redis에 접근 가능한 공격자는 특수하게 조작된 작업을 보낼 수 있으며, Airflow 워커(workers)가 이를 명령어로 실행하게 됩니다. 이로 인해 Airflow가 실행 중인 사용자 권한으로 임의 코드 실행이 발생할 수 있습니다.
위험: RCE - 시스템 제어.
해결 권장 사항: Apache Airflow를 업데이트하십시오. 현재 최신 버전은 3.0.1입니다. 또한 브로커(Redis 또는 RabbitMQ)에 대한 접근을 제한하는 것이 좋습니다.