最近の脆弱性 › CVE-2020-13927
Apache Airflow's Experimental API の認証回避の脆弱性（CVE-2020-13927）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2020-13927 |
|---|---|
| 製品 | Apache Airflow's Experimental API |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-01-18 |
| 米国政府機関の対応期限 | 2022-07-18 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-1188, CWE-306 |
何が起きた
Apache Airflow の実験的な API（Experimental API）は、以前の既定の設定では、ログインの確認なしにすべての API の要求を受け付けていました。このことに気づかずに使っている利用者にとって、セキュリティ上の危険があります。CISA によると、この弱点は実際の攻撃に悪用されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache Airflow を使っている組織が対象です。Apache の案内によると、影響を受けるのは 1.10.11 より前のバージョンです。
何をすればいい
Apache Airflow の公式の案内を確認し、1.10.11 以降に更新してください。1.10.11 からは、既定ですべての要求を拒否するように変わりました。ただし、これは新しく入れた場合の変更なので、すでに使っている場合は、設定の api の項目にある auth_backend を airflow.api.auth.backend.deny_all に変える必要があります。
やることチェックリスト
- Airflow のバージョンを確かめる
- Airflow を 1.10.11 以降に更新する
- auth_backend を deny_all の設定に変える
用語メモ
- API
- プログラム同士がやり取りするための窓口です。
- 既定の設定
- 利用者が何も変えていないときに使われる、最初からの設定です。
- auth_backend
- Airflow で、API への要求をどう確認するかを決める設定の項目です。
元データ（英語・CISA KEV より）
Apache Airflow's Experimental API Authentication Bypass
概要
The previous default setting for Airflow's Experimental API was to allow all API requests without authentication.
推奨対応
Apply updates per vendor instructions.