CVE-2026-86792
Beschreibung
Apache Airflow Apache Kafka-Providerversionen 1.15.0 vor 2.0.0 lösen punktierte Pfadstrings, die im Extra-Feld einer Kafka-Verbindung gefunden wurden, über Import String in Python-Callables auf und geben sie dem konfluenten Kafka-Client, der sie aufruft. Bereitstellungen, die den Kafka-Ereignis-Produzenten "dag run events enabled" oder "task instance events enabled" aktiviert haben, die beide standardmäßig deaktiviert sind, erstellen diesen Client innerhalb des Scheduler-Prozesses, so dass ein Benutzer, dessen einziges Privileg die Bearbeitung von Airflow-Verbindungen ist, eine willkürliche Codeausführung in der Steuerungsebene erhält; das Airflow-Sicherheitsmodell begrenzt die Codeausführung von Verbindungskonfigurationsbenutzern auf Worker, nicht auf den Scheduler. Bereitstellungen mit Google Managed Kafka sind nicht betroffen, da dieser Codepfad alle vom Benutzer bereitgestellten "oauth cb" überschreibt; einfache Broker und Amazon MSK sind ausgesetzt. Benutzern wird empfohlen, ein Upgrade auf apache-airflow-providers-apache-kafka 2.0.0 oder höher durchzuführen, wodurch eine Option für die Konfiguration von Verbindungszeichenfolgen hinzugefügt wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-apache-kafka.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.