CVE-2026-81914

Beschreibung

Der Google-Anbieter von Apache Airflow baute Google Drive-Suchausdrücke, indem er Datei- und Ordnernamen direkt in einzelne zitierte Zeichenfolgenliterale interpolierte, ohne dem Zitatzeichen zu entkommen, das sie begrenzt. Ein Name, der einen Apostroph enthält, beendete daher die wörtlichen frühen und angehängten Klauseln der Auswahl des Angreifers an die Abfrage. Die Namen werden häufig nicht vom Dag-Autor geschrieben. In einer Wildcard `gcs to gdrive`-Übertragung kommen sie aus der Quell-Bucket-Liste, so dass jeder, der Objekte in diesem Bucket erstellen kann, sie kontrolliert - typischerweise ein externer Datenproduzent oder ein reines Ingest-Service-Konto, ein anderes Vertrauensprinzip als der Dag-Autor. Eine injizierte Klausel kann die Übereinstimmung erweitern und so steuern, welche Datei oder welchen Ordner der Hook auflöst: Ein Upload kann in einen Ordner geleitet werden, den der Angreifer benannt hat, und da Downloads die zuletzt geänderte Übereinstimmung auswählen, kann ein Download eine Datei zurückgeben, die sie platziert haben, anstatt die, nach der der Dag gefragt hat. Beeinflusst Bereitstellungen, die extern bezogene Namen an den Google Drive-Hook weitergeben, einschließlich Wildcard-Transfers von Buckets, die von weniger vertrauenswürdigen Auftraggebern geschrieben werden können. Benutzern wird empfohlen, ein Upgrade auf `apache-airflow-providers-google` `22.6.0` oder höher durchzuführen, wodurch Anführungszeichen und Backslash-Zeichen in jedem Wert, der in eine Drive-Abfrage interpoliert wird, vermieden werden.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-google.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.