Apache Airflow 远程代码执行漏洞

北京赛克艾威科技有限公司 2024-07-16

漏洞编号：CVE-2024-39877
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2024-07-16

漏洞描述

Apache Airflow 是一个开源的工作流自动化平台，它允许用户定义、调度和监视工作流任务的执行。受影响版本的 Airflow 会将 DAG 属性中的 doc\_md 参数进行Jinja2模板渲染，攻击者可控制 doc\_md 参数进而执行任意代码。修复版本中修改为直接输出文档内容，从而防止恶意代码执行。