- ひとことでApache Airflow に付属するサンプルで、命令を実行される弱点です。
- 深刻度8.8 重要CVSS v3.1
- まずやることAirflow のバージョンを確かめる
基本情報（データから表示）
| CVE番号 | CVE-2020-11978 |
|---|---|
| 製品 | Apache Airflow |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-01-18 |
| 米国政府機関の対応期限 | 2022-07-18 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78（OSコマンドインジェクション） |
何が起きた
Apache Airflow に付属しているサンプルの DAG の一つに、命令を実行させられる弱点（コマンドインジェクション）が見つかりました。ログイン済みの利用者なら誰でも、Airflow のワーカーやスケジューラーを動かしているユーザーの権限で、任意の（攻撃者が好きに選べる）命令を実行できます。CISA によると、この弱点は実際の攻撃に悪用されています。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache Airflow を使っている組織が対象です。影響を受けるのは 1.10.10 以前のバージョンです。設定で load_examples=False にしてサンプルを読み込んでいない場合は、影響を受けません。
何をすればいい
Apache Airflow の公式の案内を確認し、修正の入った 1.10.11 以降に更新してください。サンプルを使っていない場合は、設定で load_examples=False にしておけば、この弱点の影響を受けません。
やることチェックリスト
- Airflow のバージョンを確かめる
- Airflow を 1.10.11 以降に更新する
- load_examples=False に設定する
用語メモ
- DAG
- Airflow で、実行する作業の順番や関係をまとめた定義です。
- コマンドインジェクション 用語集で見る
- 入力に命令を紛れ込ませて、サーバーに実行させてしまう攻撃です。
- ワーカー
- Airflow で、実際に作業を実行する役割のプログラムです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Apache Airflow Command Injection
概要
A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る