CVE-2026-86843
Beschreibung
Das Compute-Cluster-Beispiel des Apache Airflow Teradata-Anbieters Dag deklarierte jeden seiner Dag Params als uneingeschränkten freien Text und schablonierte sie direkt in die Compute-Cluster-Operatoren, die diese Werte in Teradata DDL interpolieren. Ein Benutzer, der diese Dag auslösen darf - eine Rolle mit geringerem Vertrauen als der Dag-Autor und eine, die keine eigenen Teradata-Anmeldeinformationen benötigt - könnte daher SQL-Fragmente bereitstellen, die unter der Verbindung ausgeführt werden, als die Aufgabe ausgeführt wird, und die Aufgabe zusätzlich an jede andere in der Bereitstellung definierte Verbindung umleiten, da die Verbindungs-ID selbst ein Freitext-Param war. Nur Bereitstellungen, die dieses Beispiel Dag oder ein von ihm kopiertes Dag ausführen, sind betroffen; der Betreibercode des Anbieters ist unverändert. Benutzern von apache-airflow-providers-teradata wird empfohlen, auf Version 3.7.0 oder höher zu aktualisieren, deren Beispiel die Params auf validierte Identifikatoren und einen geschlossenen Wertsatz beschränkt und Verbindungsauswahl und Freiform-Optionszeichenfolgen von der Triggerzeiteingabe entfernt. Durch das Upgrade wird ein Dag, das bereits aus dem Beispiel kopiert wurde, nicht geändert; Benutzer, die es kopiert haben, sollten die gleichen Einschränkungen auf ihre Kopie anwenden.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-teradata.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.