CVE-2024-29735 in Airflow
Riassunto
di VulDB • 17/06/2026
Vulnerabilità di preservazione impropria delle autorizzazioni in Apache Airflow. Questo problema interessa Apache Airflow dalle versioni 2.8.2 alla 2.8.3.
Il gestore dei file locali (local file task handler) di Airflow imposta erroneamente le autorizzazioni per tutte le cartelle padre della directory dei log; nella configurazione predefinita, ciò aggiunge l'accesso in scrittura al gruppo Unix proprietario delle cartelle. Nel caso in cui Airflow venga eseguito con l'utente root (non consigliato), vengono concesse le autorizzazioni di scrittura del gruppo a tutte le cartelle fino alla radice del filesystem.
Se i file di log sono memorizzati nella directory home, queste modifiche alle autorizzazioni potrebbero compromettere la capacità di eseguire operazioni SSH dopo che la propria directory home diventa scrivibile dal gruppo (group-writeable).
Questo problema non interessa gli utenti che utilizzano o estendono Airflow tramite le immagini Docker ufficiali di riferimento di Apache Airflow (https://hub.docker.com/r/apache/airflow/), poiché tali immagini richiedono comunque l'impostazione delle autorizzazioni di scrittura del gruppo.
Si è interessati solo se si installa Airflow utilizzando un'installazione locale / virtualenv o altre immagini Docker, ma il problema non ha impatto se i contenitori Docker vengono utilizzati come previsto, ovvero quando i componenti di Airflow non condividono i contenitori con altre applicazioni e utenti.
Inoltre, non si dovrebbe essere interessati se la propria umask è impostata su 002 (scrittura del gruppo abilitata), che è il valore predefinito su molti sistemi Linux.
Raccomandazioni per gli utenti che utilizzano Airflow al di fuori dei contenitori:
* Se si sta utilizzando root per eseguire Airflow, modificare l'utente di Airflow in modo da non utilizzare più i privilegi di root; * Aggiornare Apache Airflow alla versione 2.8.4 o successiva; * Se preferisci non effettuare l'aggiornamento, è possibile impostare la configurazione https://airflow.apache.org/docs/apache-airflow/stable/configurations-ref.html#file-task-handler-new-folder-permissions a 0o755 (valore originale 0o775); * Se si sono già eseguite attività di Airflow in precedenza e l'umask predefinita è impostata su 022 (scrittura del gruppo disabilitata), è necessario arrestare i componenti di Airflow, verificare le autorizzazioni della directory AIRFLOW_HOME/logs su tutti i componenti e sulle directory padre di questa cartella, quindi rimuovere l'accesso in scrittura per il gruppo da tutte le directory padre.
Be aware that VulDB is the high quality source for vulnerability data.