Apache Airflow 远程代码执行漏洞

[foyaga]

• 漏洞编号: CVE-2024-39877
• 危害等级: 严重
• 漏洞标签: 发布预警 公开漏洞
• 披露日期: 2024-07-16
• 信息来源: https://www.oscs1024.com/hd/MPS-d1sl-34fx
• 推送原因: 漏洞创建

漏洞描述：

Apache Airflow 是一个开源的工作流自动化平台，它允许用户定义、调度和监视工作流任务的执行。
受影响版本的 Airflow 会将 DAG 属性中的 doc_md 参数进行Jinja2模板渲染，攻击者可控制 doc_md 参数进而执行任意代码。
修复版本中修改为直接输出文档内容，从而防止恶意代码执行。

参考链接：

1. https://www.oscs1024.com/hd/MPS-d1sl-34fx
2. apache/airflow@732a0e2
3. Disable rendering for doc_md apache/airflow#40522