CVSS: 7.7EPSS: 11%CPEs: 1EXPL: 0CVE-2020-17526
https://notcve.org/view.php?id=CVE-2020-17526
Incorrect Session Validation in Apache Airflow Webserver versions prior to 1.10.14 with default config allows a malicious airflow user on site A where they log in normally, to access unauthorized Airflow Webserver on Site B through the session from Site A. This does not affect users who have changed the default value for `[webserver] secret_key` config. La Comprobación de Sesión Incorrecta en Apache Airflow Webserver versiones anteriores a 1.10.14, con la configuración predeterminada permite a un usuario de airflow malicioso en el sitio A donde inician sesión normalmente para el acceso no autorizado a Airflow Webserver en el Sitio B mediante la sesión del sitio A. Esto no afecta a usuarios que han cambiado el valor predeterminado para la configuración de "(webserver) secret_key" • http://www.openwall.com/lists/oss-security/2020/12/21/1 https://lists.apache.org/thread.html/r466759f377651f0a690475d5a52564d0e786e82c08d5a5730a4f8352%40%3Cannounce.apache.org%3E https://lists.apache.org/thread.html/rbeeb73a6c741f2f9200d83b9c2220610da314810c4e8c9cf881d47ef%40%3Cusers.airflow.apache.org%3E •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2020-17511
https://notcve.org/view.php?id=CVE-2020-17511
In Airflow versions prior to 1.10.13, when creating a user using airflow CLI, the password gets logged in plain text in the Log table in Airflow Metadatase. Same happened when creating a Connection with a password field. En Airflow versiones anteriores a 1.10.13, cuando se crea un usuario usando la CLI de airflow, la contraseña se registra en texto plano en la tabla de Registro en Airflow Metadatase. Lo mismo sucedió cuando se creó una Conexión con un campo de contraseña. • https://lists.apache.org/thread.html/ree782a29d927b96bf0b39fb92e2f1f09ea3112a985f7a08ce93765ac%40%3Cusers.airflow.apache.org%3E • CWE-312: Cleartext Storage of Sensitive Information •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2020-17513
https://notcve.org/view.php?id=CVE-2020-17513
In Apache Airflow versions prior to 1.10.13, the Charts and Query View of the old (Flask-admin based) UI were vulnerable for SSRF attack. En Apache Airflow versiones anteriores a 1.10.13, los Gráficos y la Visualización de Consulta de la antigua interfaz del usuario (basada en Flask-admin) eran vulnerables a un ataque de tipo SSRF. • https://lists.apache.org/thread.html/rb3647269f07cc2775ca6568cbfd4994d862c842a58120d2aba9c658a%40%3Cusers.airflow.apache.org%3E • CWE-918: Server-Side Request Forgery (SSRF) •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2020-17515
https://notcve.org/view.php?id=CVE-2020-17515
The "origin" parameter passed to some of the endpoints like '/trigger' was vulnerable to XSS exploit. This issue affects Apache Airflow versions prior to 1.10.13. This is same as CVE-2020-13944 but the implemented fix in Airflow 1.10.13 did not fix the issue completely. El parámetro "origin" pasado a algunos de los endpoints como "/trigger" era vulnerable a una explotación de XSS. Este problema afecta a Apache Airflow versiones anteriores a 1.10.13. • http://www.openwall.com/lists/oss-security/2020/12/11/2 http://www.openwall.com/lists/oss-security/2021/05/01/2 https://lists.apache.org/thread.html/r2892ef594dbbf54d0939b808626f52f7c2d1584f8aa1d81570847d2a%40%3Cannounce.apache.org%3E https://lists.apache.org/thread.html/r2892ef594dbbf54d0939b808626f52f7c2d1584f8aa1d81570847d2a%40%3Cdev.airflow.apache.org%3E https://lists.apache.org/thread.html/r2892ef594dbbf54d0939b808626f52f7c2d1584f8aa1d81570847d2a%40%3Cusers.airflow.apache.org%3E https://lists.apache.org/thread.html/r4656959c8ed06c1f6202d89aa4e67 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 96%CPEs: 1EXPL: 3CVE-2020-13927 – Apache Airflow's Experimental API Authentication Bypass
https://notcve.org/view.php?id=CVE-2020-13927
The previous default setting for Airflow's Experimental API was to allow all API requests without authentication, but this poses security risks to users who miss this fact. From Airflow 1.10.11 the default has been changed to deny all requests by default and is documented at https://airflow.apache.org/docs/1.10.11/security.html#api-authentication. Note this change fixes it for new installs but existing users need to change their config to default `[api]auth_backend = airflow.api.auth.backend.deny_all` as mentioned in the Updating Guide: https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default La configuración predeterminada previa para Airflow's Experimental API permitió todas las peticiones de la API sin autenticación, pero esto plantea riesgos de seguridad para los usuarios que no se dan cuenta de este hecho. Desde Airflow versión 1.10.11, el valor predeterminado ha sido cambiado para denegar todas las peticiones por defecto y está documentado en https://airflow.apache.org/docs/1.10.11/security.html#api-authentication. Tome en cuenta que este cambio lo corrige para nuevas instalaciones, pero los usuarios existentes deben cambiar su configuración a la predeterminada "[api] auth_backend=airflow.api.auth.backend.deny_all" como es mencionado en la Guía de Actualización: https://github.com/apache /airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-defaul Apache Airflow versions 1.10.10 and below suffer from a remote code execution vulnerability. • https://www.exploit-db.com/exploits/49927 http://packetstormsecurity.com/files/162908/Apache-Airflow-1.10.10-Remote-Code-Execution.html http://packetstormsecurity.com/files/174764/Apache-Airflow-1.10.10-Remote-Code-Execution.html https://lists.apache.org/thread.html/r23a81b247aa346ff193670be565b2b8ea4b17ddbc7a35fc099c1aadd%40%3Cdev.airflow.apache.org%3E • CWE-306: Missing Authentication for Critical Function CWE-1056: Invokable Control Element with Variadic Parameters CWE-1188: Initialization of a Resource with an Insecure Default •