// For flags

CVE-2024-29735

Apache Airflow: Potentially harmful permission changing by log task handler

Severity Score

5.3
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

0
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

Track*
*SSVC
Descriptions

Improper Preservation of Permissions vulnerability in Apache Airflow.This issue affects Apache Airflow from 2.8.2 through 2.8.3.

Airflow's local file task handler in Airflow incorrectly set permissions for all parent folders of log folder, in default configuration adding write access to Unix group of the folders. In the case Airflow is run with the root user (not recommended) it added group write permission to all folders up to the root of the filesystem.

If your log files are stored in the home directory, these permission changes might impact your ability to run SSH operations after your home directory becomes group-writeable.

This issue does not affect users who use or extend Airflow using Official Airflow Docker reference images ( https://hub.docker.com/r/apache/airflow/ ) - those images require to have group write permission set anyway.

You are affected only if you install Airflow using local installation / virtualenv or other Docker images, but the issue has no impact if docker containers are used as intended, i.e. where Airflow components do not share containers with other applications and users.

Also you should not be affected if your umask is 002 (group write enabled) - this is the default on many linux systems.

Recommendation for users using Airflow outside of the containers:

* if you are using root to run Airflow, change your Airflow user to use non-root
* upgrade Apache Airflow to 2.8.4 or above
* If you prefer not to upgrade, you can change the https://airflow.apache.org/docs/apache-airflow/stable/configurations-ref.html#file-task-handler-new-folder-permissions  to 0o755 (original value 0o775).
* if you already ran Airflow tasks before and your default umask is 022 (group write disabled) you should stop Airflow components, check permissions of AIRFLOW_HOME/logs in all your components and all parent directories of this directory and remove group write access for all the parent directories

Vulnerabilidad de conservación inadecuada de permisos en Apache Airflow. Este problema afecta a Apache Airflow desde la versión 2.8.2 hasta la 2.8.3. El controlador de tareas de archivos locales de Airflow en Airflow configuró incorrectamente permisos para todas las carpetas principales de la carpeta de registro, en la configuración predeterminada agrega acceso de escritura al grupo de carpetas de Unix. En el caso de que Airflow se ejecute con el usuario root (no recomendado), agregó permiso de escritura grupal a todas las carpetas hasta la raíz del sistema de archivos. Si sus archivos de registro están almacenados en el directorio de inicio, estos cambios de permisos pueden afectar su capacidad para ejecutar operaciones SSH después de que su directorio de inicio se pueda escribir en grupo. Este problema no afecta a los usuarios que usan o amplían Airflow utilizando imágenes de referencia oficiales de Airflow Docker (https://hub.docker.com/r/apache/airflow/); de todos modos, esas imágenes requieren tener configurado el permiso de escritura grupal. Solo se verá afectado si instala Airflow usando la instalación local/virtualenv u otras imágenes de Docker, pero el problema no tiene ningún impacto si los contenedores de Docker se usan según lo previsto, es decir, cuando los componentes de Airflow no comparten contenedores con otras aplicaciones y usuarios. Además, no debería verse afectado si su umask es 002 (escritura en grupo habilitada); este es el valor predeterminado en muchos sistemas Linux. Recomendación para usuarios que usan Airflow fuera de los contenedores: * si está usando root para ejecutar Airflow, cambie su usuario de Airflow para usar no root * actualice Apache Airflow a 2.8.4 o superior * Si prefiere no actualizar, puede cambiar los https://airflow.apache.org/docs/apache-airflow/stable/configurations-ref.html#file-task-handler-new-folder-permissions a 0o755 (valor original 0o775). * si ya ejecutó tareas de Airflow antes y su umask predeterminada es 022 (escritura grupal deshabilitada), debe detener los componentes de Airflow, verificar los permisos de AIRFLOW_HOME/logs en todos sus componentes y todos los directorios principales de este directorio y eliminar el acceso de escritura grupal para todos los directorios principales

*Credits: Matej Murin
CVSS Scores
Attack Vector
Network
Attack Complexity
High
Privileges Required
Low
User Interaction
None
Scope
Unchanged
Confidentiality
None
Integrity
High
Availability
None
* Common Vulnerability Scoring System
SSVC
  • Decision:Track*
Exploitation
None
Automatable
No
Tech. Impact
Total
* Organization's Worst-case Scenario
Timeline
  • 2024-03-19 CVE Reserved
  • 2024-03-26 CVE Published
  • 2024-05-02 EPSS Updated
  • 2024-08-29 CVE Updated
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
  • ---------- First Exploit
CWE
  • CWE-281: Improper Preservation of Permissions
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Apache Software Foundation
Search vendor "Apache Software Foundation"
Apache Airflow
Search vendor "Apache Software Foundation" for product "Apache Airflow"
>= 2.8.2 <= 2.8.3
Search vendor "Apache Software Foundation" for product "Apache Airflow" and version " >= 2.8.2 <= 2.8.3"
en
Affected