点击上方蓝字关注我们

01

  Apache Airflow 的 Example Dags 存在命令注入漏洞，拥有 UI 访问权限且可以触发 DAG 的攻击者可以通过输入精心构造的run_id 参数执行任意命令。

【风险等级】高 危

  禾盾科技应急团队建议广大用户及时将Apache升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

  Apache Airflow < 2.4.0

03

  目前Apache官方已正式发布修复版本，建议受影响的用户尽快升级至安全版本。

  【缓解方案】：禁止在不允许 UI 用户执行任意命令的系统上启用example dags。

  尽快将Apache Airflow升级到2.4.0以上版本

‍‍‍‍‍‍‍  下载链接：

https://airflow.apache.org/docs/apache-airflow/stable/installation/installing-from-sources.html

04

05