- Aktif istismar
- CWE-78
CVE-2020-11978
Apache Airflow'da örnek DAG üzerinden komut enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2295 gün
- Kaydı açan
- apache
ÖzetTürkçe
Apache Airflow 1.10.10 ve daha eski sürümlerinde bir sorun tespit edilmiştir. Airflow ile birlikte gelen örnek DAG'lardan birinde uzaktan kod/komut enjeksiyonu açığı keşfedilmiştir. Bu açık, kimliği doğrulanmış herhangi bir kullanıcının, kullanılan executor'a bağlı olarak airflow worker/scheduler sürecini çalıştıran kullanıcı yetkisiyle rastgele komutlar çalıştırmasına olanak tanıyabilir. Yapılandırmada load_examples=False ayarlanarak örnekler zaten devre dışı bırakılmışsa, sistem bu açıktan etkilenmez.
Kaynaktaki açıklama (İngilizce)
An issue was found in Apache Airflow versions 1.10.10 and below. A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow which would allow any authenticated user to run arbitrary commands as the user running airflow worker/scheduler (depending on the executor in use). If you already have examples disabled by setting load_examples=False in the config then you are not vulnerable.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Airflow | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.