Apache Airflow のコマンドインジェクションの脆弱性（CVE-2020-11978）

何が起きた

Apache Airflow に付属しているサンプルの DAG の一つに、命令を実行させられる弱点（コマンドインジェクション）が見つかりました。ログイン済みの利用者なら誰でも、Airflow のワーカーやスケジューラーを動かしているユーザーの権限で、任意の（攻撃者が好きに選べる）命令を実行できます。CISA によると、この弱点は実際の攻撃に悪用されています。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Airflow を使っている組織が対象です。影響を受けるのは 1.10.10 以前のバージョンです。設定で load_examples=False にしてサンプルを読み込んでいない場合は、影響を受けません。

何をすればいい

Apache Airflow の公式の案内を確認し、修正の入った 1.10.11 以降に更新してください。サンプルを使っていない場合は、設定で load_examples=False にしておけば、この弱点の影響を受けません。

やることチェックリスト

• Airflow のバージョンを確かめる
• Airflow を 1.10.11 以降に更新する
• load_examples=False に設定する

用語メモ

DAG

Airflow で、実行する作業の順番や関係をまとめた定義です。

コマンドインジェクション

入力に命令を紛れ込ませて、サーバーに実行させてしまう攻撃です。

ワーカー

Airflow で、実際に作業を実行する役割のプログラムです。