CVE-2026-81862

Beschreibung

Der Teradata-Anbieter von Apache Airflow hat Cloud-Speicheranmeldeinformationen direkt in SQL-Anweisungen eingebettet. `S3ToTeradataOperator` und `AzureBlobStorageToTeradataOperator` interpolieren die Anmeldeinformationen des Quell-Buckets als einfache String-Literale in die `CREATE MULTISET TABLE ... LOCATION`-Anweisung, wenn der Bucket privat ist und kein `teradata authorization name` konfiguriert ist - was der Standard-Anmeldepfad für beide Operatoren ist. Die Anweisung wird dann protokolliert und ausgeführt, so dass die Anmeldeinformationen zwei Stellen außerhalb der Kontrolle des Betreibers erreichen. Die beiden Betreiber stellen unterschiedliche Anmeldeinformationen über verschiedene Kanäle zur Verfügung, und die Bereitstellungen sollten beide überprüfen. `S3ToTeradataOperator` nimmt seine Werte von `s3 hook.get credentials()`, das unter einem Instanzprofil oder IRSA AWS-Runtime-Anmeldeinformationen zurückgibt, die nie mit Airflows Secrets Masker registriert wurden - und das STS-Sitzungstoken ist runtime-generiert und daher auch dann enttarnt, wenn eine AWS-Verbindung konfiguriert ist. Diese Anmeldeinformationen erscheinen ** im Airflow-Taskprotokoll **, das von jedem Benutzer mit Log-View-Berechtigung auf der Dag gelesen werden kann. 'AzureBlobStorageToTeradataOperator' nimmt seinen Speicherkontoschlüssel aus der Verbindung, so dass der Masker normalerweise die Task-Log-Kopie löscht; seine Belichtung ist die Teradata-Seite. **Beide Operator schreiben die Anmeldeinformationen in die DBQL-Abfrageprotokolle von Teradata und Live-Monitoring-Ansichten, wobei die Maskierung von Airflow niemals gilt und die Werte für die Protokollaufbewahrungsdauer dieses Systems bestehen bleiben. Beeinflusst Bereitstellungen mit einem Operator gegen einen privaten Bucket oder Container ohne ein Teradata "AUTHORIZATION" -Objekt. Benutzern wird empfohlen, auf „apache-airflow-providers-teradata“ oder „3.7.0“ oder höher zu aktualisieren, wodurch die Anmeldeinformationen aus dem Airflow-Taskprotokoll entfernt werden. Durch das Upgrade werden die Anmeldeinformationen nicht aus den Abfrageprotokollen und Überwachungsansichten von Teradata entfernt, die Airflow nicht bearbeiten kann: Benutzer sollten `teradata authorization name` mit einem Teradata `AUTHORIZATION`-Objekt konfigurieren, so dass Anmeldeinformationen niemals inlined sind, und alle Anmeldeinformationen, die zuvor über den Inline-Pfad verwendet wurden, drehen.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-teradata.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.