CVE-2023-40195

WysokieCVSS 8.8

Opublikowano: 28/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.41%

Percentyl 69 - wyżej niż 69% wszystkich znanych CVE

Streszczenie

W podatności CVE-2023-40195 występuje deserializacja niezaufanych danych w Apache Airflow Spark Provider, co pozwala autoryzowanym użytkownikom na uruchamianie dowolnego kodu na węźle Airflow poprzez wskazanie złośliwego serwera Spark.

Ocena ryzyka

Organizacje mogą być narażone na poważne zagrożenia bezpieczeństwa, jeśli nieautoryzowani użytkownicy uzyskają dostęp do możliwości konfiguracji hooków Spark, co może prowadzić do wykonania złośliwego kodu.

Rekomendacja

Zaleca się, aby administratorzy dokładnie przejrzeli swoje konfiguracje i przyznawali uprawnienia do konfiguracji hooków Spark tylko zaufanym użytkownikom.

Inne podatności w Apache Airflow Spark Provider

CVE-2023-40272Wysokie
Apache Airflow Spark Provider w wersjach przed 4.1.3 zawiera podatność, która pozwala atakującemu na przekazywanie złośliwych parametrów podczas nawiązywania połączenia, co umożliwia odczyt plików na serwerze Airflow.

Oryginalny opis (angielski, źródło NVD)

Deserialization of Untrusted Data, Inclusion of Functionality from Untrusted Control Sphere vulnerability in Apache Software Foundation Apache Airflow Spark Provider. When the Apache Spark provider is installed on an Airflow deployment, an Airflow user that is authorized to configure Spark hooks can effectively run arbitrary code on the Airflow node by pointing it at a malicious Spark server. Prior to version 4.1.3, this was not called out in the documentation explicitly, so it is possible that administrators provided authorizations to configure Spark hooks without taking this into account. We recommend administrators to review their configurations to make sure the authorization to configure Spark hooks is only provided to fully trusted users. To view the warning in the docs please visit https://airflow.apache.org/docs/apache-airflow-providers-apache-spark/4.1.3/connections/spark.html

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS