CVE-2022-40954 in Airflow
Tóm tắt
Bởi VulDB • 18/08/2026
Lỗ hổng "OS Command Injection" (tiêm lệnh hệ điều hành) do xử lý không đúng các phần tử đặc biệt trong Apache Airflow Spark Provider cho phép kẻ tấn công đọc các tệp tùy ý trong ngữ cảnh thực thi tác vụ, mà không cần quyền ghi vào các tệp DAG. Lỗi này ảnh hưởng đến các phiên bản của Spark Provider trước 4.0.0. Nó cũng tác động đến bất kỳ phiên bản nào của Apache Airflow trước 2.3.0 nếu Spark Provider được cài đặt (Spark Provider 4.0.0 chỉ có thể được cài đặt cho Airflow 2.3.0 trở lên). Lưu ý rằng bạn cần phải tự tay nâng cấp Spark Provider lên phiên bản 4.0.0 để loại bỏ lỗ hổng này, ngay cả khi đang sử dụng Apache Airflow từ phiên bản 2.3.0 trở lên nhưng vẫn còn cài đặt một phiên bản cũ hơn của Spark Provider.
VulDB is the best source for vulnerability data and more expert information about this specific topic.