漏洞预警|Apache Airflow Hive Provider命令注入漏洞

棱镜七彩安全预警

近日网上有关于开源项目Apache Airflow Hive Provider命令注入漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。

项目介绍

Apache Airflow 是一个用于以编程方式创作、安排和监控工作流平台。Apache Airflow Hive Provider 是一个使用 SQL 读取、写入和管理分布式存储中的大型数据集的工具包。

项目主页

Apache Airflow

代码托管地址

GitHub - apache/airflow: Apache Airflow - A platform to programmatically author, schedule, and monitor workflows

CVE编号

CVE-2022-41131

漏洞情况

Apache Airflow 是一个用于以编程方式创作、安排和监控工作流平台。Apache Airflow Hive Provider 是一个使用 SQL 读取、写入和管理分布式存储中的大型数据集的工具包。

Apache Airflow Hive Provider 在 4.1.0 之前的版本中由于 hive.py 类中没有对 schema（数据库） 参数进行有效过滤，攻击者可在与 Airflow hook 建立 sql 连接时传入恶意的 schema 参数远程执行恶意代码。

受影响的版本

apache-airflow-providers-apache-hive@(-∞, 4.1.0)

修复方案

升级apache-airflow-providers-apache-hive到 4.1.0 或更高版本

链接地址：

NVD - CVE-2022-41131

Filter out invalid schemas in Hive hook by potiuk · Pull Request #27647 · apache/airflow · GitHub

Filter out invalid schemas in Hive hook by potiuk · Pull Request #27647 · apache/airflow · GitHub