CVE-2024-29735 in Airflow
Zusammenfassung
von VulDB • 01.06.2026
Fehlerhafte Wahrung von Berechtigungen (Improper Preservation of Permissions) in Apache Airflow. Dieses Problem betrifft Apache Airflow in den Versionen von 2.8.2 bis 2.8.3.
Der lokale Dateiaufgaben-Handler (local file task handler) von Airflow hat in der Standardkonfiguration die Berechtigungen für alle übergeordneten Ordner des Log-Ordners falsch festgelegt, wodurch Schreibzugriff für die Unix-Gruppe der Ordner gewährt wurde. Falls Airflow als Root-Benutzer ausgeführt wird (nicht empfohlen), wurde die Schreibberechtigung für die Gruppe auf alle Ordner bis zur Wurzel des Dateisystems angewendet.
Wenn Ihre Protokolldateien im Home-Verzeichnis gespeichert sind, können diese Berechtigungsänderungen Ihre Fähigkeit beeinträchtigen, SSH-Operationen auszuführen, sobald Ihr Home-Verzeichnis schreibbar für die Gruppe wird.
Dieses Problem betrifft keine Benutzer, die Airflow mit offiziellen Airflow-Docker-Referenzimages verwenden oder darauf aufbauen (https://hub.docker.com/r/apache/airflow/). Diese Images erfordern ohnehin, dass die Schreibberechtigung für die Gruppe festgelegt ist.
Sie sind nur betroffen, wenn Sie Airflow über eine lokale Installation / virtualenv oder andere Docker-Images installieren. Das Problem hat jedoch keine Auswirkungen, wenn Docker-Container wie vorgesehen verwendet werden, d. h., wenn die Airflow-Komponenten keine Container mit anderen Anwendungen und Benutzern teilen.
Sie sollten ebenfalls nicht betroffen sein, wenn Ihre umask auf 002 (Schreibzugriff für Gruppe aktiviert) eingestellt ist – dies ist der Standardwert auf vielen Linux-Systemen.
Empfehlungen für Benutzer, die Airflow außerhalb von Containern nutzen:
* Wenn Sie Airflow mit Root-Rechten ausführen, ändern Sie den Airflow-Benutzer so, dass er nicht mehr als Root ausgeführt wird. * Führen Sie ein Upgrade von Apache Airflow auf Version 2.8.4 oder höher durch. * Wenn Sie kein Upgrade durchführen möchten, können Sie die Einstellung https://airflow.apache.org/docs/apache-airflow/stable/configurations-ref.html#file-task-handler-new-folder-permissions auf 0o755 ändern (ursprünglicher Wert: 0o775). * Wenn Sie Airflow-Aufgaben bereits ausgeführt haben und Ihre Standard-umask auf 022 (Schreibzugriff für Gruppe deaktiviert) eingestellt ist, sollten Sie die Airflow-Komponenten stoppen, die Berechtigungen von AIRFLOW_HOME/logs in allen Ihren Komponenten und allen übergeordneten Verzeichnissen dieses Verzeichnisses überprüfen und den Schreibzugriff für die Gruppe in allen übergeordneten Verzeichnissen entfernen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.