🟠 CVE-2026-49297: High Schwachstelle

„`html

Zusammenfassung

Apache Airflow’s Google Cloud Storage (GCS) Provider enthält eine kritische Path-Traversal-Vulnerabilität in den Operatoren GCSToSFTPOperator und GCSTimeSpanFileTransformOperator. Die Schwachstelle ermöglicht es Benutzern mit Schreibzugriff auf GCS-Buckets, beliebige Dateien auf SFTP-Servern oder Worker-Hosts zu überschreiben.

Betroffene Systeme

Betroffen sind Installationen von apache-airflow-providers-google vor Version 22.2.1. Besonders gefährdet sind Deployments, die Daten aus Buckets verarbeiten, die von weniger vertrauenswürdigen Benutzern beschreibbar sind (z.B. Partner-Uploads, Public-Data-Buckets oder Ingest-Only Service Accounts).

Technische Details

Die Vulnerabilität liegt in der unzureichenden Normalisierung von GCS-Objektnamen. Die betroffenen Operatoren verarbeiten Objektnamen aus der Bucket-Listing-API direkt, ohne Pfad-Traversal-Segmente wie .. zu überprüfen oder zu bereinigen.

Ein Angreifer kann Objektnamen mit ..-Segmenten erstellen und dadurch:

• Bei GCSToSFTPOperator: Dateien außerhalb des konfigurierten destination_path auf dem SFTP-Server schreiben
• Bei GCSTimeSpanFileTransformOperator: Dateien außerhalb des Worker-lokalen Temp-Verzeichnisses überschreiben

Das Risiko ist erhöht, da die Datenquelle typischerweise von einem anderen Vertrauens-Principal als dem DAG-Autor kontrolliert wird.

Empfohlene Massnahmen

• Sofortige Aktualisierung: Upgrade auf apache-airflow-providers-google 22.2.1 oder später durchführen
• Zugriffskontrolle: Schreibzugriff auf GCS-Buckets einschränken und nur vertrauenswürdigen Prinzipalen gewähren
• Überwachung: SFTP-Server und Worker-Hosts auf verdächtige Dateizugriffe überwachen
• Validierung: Input-Validierung für GCS-Objektnamen implementieren

Bewertung

CVSS Score: 8.1 (High)

Angriffsvektor: Network

Die Schwachstelle ermöglicht unbefugten Dateizugriff und Dateimanipulation. Eine Patch ist verfügbar und sollte zeitnah eingespielt werden.

„`