- Aktif istismar
- CWE-306
- CWE-1056
- CWE-1188
CVE-2020-13927
Apache Airflow Deneysel API'sinde kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2178 gün
- Kaydı açan
- apache
Yönetici özeti
Eski Airflow kurulumlarında API'ye şifresiz erişilebiliyor ve bu açık saldırganlar tarafından aktif olarak kullanılıyor. Veri iş akışlarının ele geçirilmesi veya durdurulması gibi ciddi sonuçlar doğabileceğinden güncelleme ve yapılandırma düzeltmesi acilen yapılmalıdır.
ÖzetTürkçe
Apache Airflow'un Deneysel API'si (Experimental API) eski varsayılan ayarlarda tüm istekleri kimlik doğrulaması yapmadan kabul ediyordu. Bu durum, söz konusu varsayılandan haberdar olmayan kullanıcıları risk altında bırakıyor. Airflow 1.10.11 sürümüyle varsayılan değer tüm istekleri reddedecek şekilde değiştirildi; ancak bu değişiklik yalnızca yeni kurulumları düzeltiyor, mevcut kurulumların yapılandırmasının elle güncellenmesi gerekiyor. Açık, CISA'nın bilinen sömürülen açıklar (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Saldırgan, ağ üzerinden kimlik doğrulaması olmadan Deneysel API'ye erişerek gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki sağlayabilir. CVSS puanı 9.8 (kritik) olup açığın aktif olarak sömürüldüğü bilinmektedir.
Kaynaktaki açıklama (İngilizce)
The previous default setting for Airflow's Experimental API was to allow all API requests without authentication, but this poses security risks to users who miss this fact. From Airflow 1.10.11 the default has been changed to deny all requests by default and is documented at https://airflow.apache.org/docs/1.10.11/security.html#api-authentication. Note this change fixes it for new installs but existing users need to change their config to default [api]auth_backend = airflow.api.auth.backend.deny_all as mentioned in the Updating Guide: https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Apache Airflow'u 1.10.11 veya daha yeni bir sürüme yükseltin. Genel öneri
- Satıcı talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
- Deneysel API'yi kullanmanız gerekiyorsa, yalnızca kimlik doğrulaması gerektiren bir auth backend yapılandırın ve erişimi güvenilir ağlarla sınırlayın. Genel öneri
Ek önlemler
- Airflow arayüzünü ve API'sini doğrudan internete açmayın; güvenlik duvarı veya VPN ile erişimi kısıtlayın. Genel öneri
- API günlüklerini inceleyerek kimlik doğrulaması olmadan yapılmış şüpheli isteklere ve beklenmedik DAG çalıştırmalarına bakın. Genel öneri
- Açık sürümlerde çalışmış olan sistemlerde saklanan bağlantı bilgilerini ve parolaları değiştirmeyi değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Airflow | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.