🟡 CVE-2026-49818: Medium Schwachstelle

„`html

Zusammenfassung

CVE-2026-49818 beschreibt eine Path-Traversal-Sicherheitslücke im Apache Airflow Samba Provider. Die Schwachstelle ermöglicht es Angreifern, Dateien außerhalb des konfigurierten Zielverzeichnisses auf SMB-Shares zu schreiben. Die Lücke betrifft den `GCSToSambaOperator` und wird mit einem CVSS-Score von 6.5 (Mittel) bewertet.

Betroffene Systeme

Betroffen sind Apache Airflow-Installationen mit dem Samba Provider in Versionen vor 4.12.6. Besonders kritisch ist die Schwachstelle für Systeme, die:

• Den `GCSToSambaOperator` zur Datenübertragung zwischen Google Cloud Storage und Samba-Shares nutzen
• Externen Datenquellen vertrauen, die Objekte in den GCS-Bucket schreiben können
• DAG-Autoren und Datenproducer als unterschiedliche Vertrauensbereiche behandeln

Technische Details

Die Vulnerabilität entsteht durch fehlende Validierung beim Zusammenfügen von GCS-Objektnamen mit dem SMB-Zielpath. Der `GCSToSambaOperator` führt keine Containment-Checks durch, um zu überprüfen, ob der aufgelöste Dateipfad innerhalb von `destination_path` verbleibt.

Ein Angreifer kann Objekte mit Path-Traversal-Sequenzen benennen (z.B. `../../../sensitive/file`). Diese werden beim Schreiben auf das Samba-Share nicht validiert und ermöglichen das Überschreiben von Dateien in übergeordneten Verzeichnissen oder beliebigen Lokationen, auf die der Samba-Benutzer Zugriff hat.

Kritisch ist, dass externe Datenproduzer—typischerweise nicht die vertrauenswürdigen DAG-Autoren—diesen Angriff ausführen können, wenn sie Schreibzugriff auf den GCS-Bucket besitzen.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf apache-airflow-providers-samba 4.12.6 oder später durchführen
• Input-Validierung: Implementieren Sie zusätzliche Kontrollmechanismen für externe Objektnamen
• Zugriffsschutz: Beschränken Sie GCS-Bucket-Schreibzugriff auf vertrauenswürdige Quellen
• SMB-Berechtigungen: Implementieren Sie Least-Privilege-Prinzipien für Samba-Benutzer

Bewertung

Der CVSS-Score 6.5 (Medium) und der Network-Angriffsvektor machen diese Lücke für Umgebungen mit untrusted externen Datenquellen relevant. Das Fehlen eines verfügbaren Patches unterstreicht die Notwendigkeit schneller Updates.

„`