CVE-2023-40272

WysokieCVSS 7.5

Opublikowano: 17/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.67%

Percentyl 74 - wyżej niż 74% wszystkich znanych CVE

Streszczenie

Apache Airflow Spark Provider w wersjach przed 4.1.3 zawiera podatność, która pozwala atakującemu na przekazywanie złośliwych parametrów podczas nawiązywania połączenia, co umożliwia odczyt plików na serwerze Airflow.

Ocena ryzyka

Podatność ta stwarza ryzyko nieautoryzowanego dostępu do danych na serwerze Airflow, co może prowadzić do ujawnienia wrażliwych informacji.

Rekomendacja

Zaleca się aktualizację do wersji, która nie jest podatna na tę lukę.

Inne podatności w Apache Airflow Spark Provider

CVE-2023-40195Wysokie
W podatności CVE-2023-40195 występuje deserializacja niezaufanych danych w Apache Airflow Spark Provider, co pozwala autoryzowanym użytkownikom na uruchamianie dowolnego kodu na węźle Airflow poprzez wskazanie złośliwego serwera Spark.

Oryginalny opis (angielski, źródło NVD)

Apache Airflow Spark Provider, versions before 4.1.3, is affected by a vulnerability that allows an attacker to pass in malicious parameters when establishing a connection giving an opportunity to read files on the Airflow server. It is recommended to upgrade to a version that is not affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS