„`html
Zusammenfassung
Die Config API in Apache Airflow offenbart ein Informationsleck bei der Verarbeitung von Secrets-Backend-Konfigurationen. Umgebungsvariablen zur Konfiguration von Secrets-Backend-Parametern werden als synthetische Config-Optionen exponiert, ohne dass sie in die Liste der sensiblen Konfigurationswerte aufgenommen wurden. Dies ermöglicht authentifizierten Benutzern mit Config-Leseberechtigung, vertrauliche Credentials im Klartext aus der Config API auszulesen.
Betroffene Systeme
Apache Airflow-Installationen, die Secrets-Backends über per-Key-Umgebungsvariablen konfigurieren, sind anfällig. Die Schwachstelle betrifft insbesondere:
- Deployments mit Vault-Integration
- Systeme, die environment variable overrides verwenden
- Installationen mit mehreren Secrets-Backends
Technische Details
Die Vulnerability entsteht durch unzureichende Maskierung sensibler Konfigurationswerte. Umgebungsvariablen wie AIRFLOW__SECRETS__BACKEND_KWARG__SECRET_ID und AIRFLOW__WORKERS__SECRETS_BACKEND_KWARG__SECRET_ID werden als reguläre Config-Optionen behandelt.
Die Masking-Funktion berücksichtigt diese dynamisch generierten Optionen nicht, da ihre Namen nicht in der sensitive_config_values-Liste enthalten sind. Ein authentifizierter UI- oder API-Benutzer kann die Config API abfragen und erhält sensitive Daten wie HashiCorp Vault role_id und secret_id im Klartext.
Empfohlene Massnahmen
- Upgrade: Sofortige Aktualisierung auf Apache Airflow 3.3.0 oder neuer durchführen
- Zugriffskontrolle: Config-Leseberechtigung nur berechtigten Administratoren gewähren
- Audit: API-Zugriffslogs überprüfen auf unbefugte Konfigurationsabfragen
- Credential-Rotation: Secrets-Backend-Credentials rotieren, falls Exposure möglich ist
Bewertung
CVSS Score: 6.5 (Medium)
Die Schwachstelle erfordert Authentifizierung und spezifische Berechtigungen. Das Risiko ist erheblich, da Credentials exponiert werden, aber das Angriffssszenario auf authentifizierte Benutzer beschränkt ist.
„`