🇰🇷 한글 설명
Apache Airflow Celery provider에서 Celery 결과 백엔드로 redis, amqp, rpc 프로토콜을 사용할 때 민감한 정보가 로그 파일에 평문으로 기록되는 취약점입니다. 이 취약점은 로그 파일 자체에 대한 접근 권한이 아닌, 로그 내에 노출된 정보의 보안 문제를 다룹니다.
💡 쉬운 설명
시스템이 작동하면서 남기는 기록(로그)에 비밀번호 같은 중요한 정보가 암호화되지 않은 채 그대로 적히는 문제입니다. 로그를 볼 수 있는 사람이 있다면 중요한 정보를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Insertion of Sensitive Information into Log File vulnerability in Apache Airflow Celery provider, Apache Airflow.
Sensitive information logged as clear text when rediss, amqp, rpc protocols are used as Celery result backend
Note: the vulnerability is about the information exposed in the logs not about accessing the logs.
This issue affects Apache Airflow Celery provider: from 3.3.0 through 3.4.0; Apache Airflow: from 1.10.0 through 2.6.3.
Users are recommended to upgrade Airflow Celery provider to version 3.4.1 and Apache Airlfow to version 2.7.0 which fixes the issue.
📍 영향받는 시스템
Apache Airflow Celery provider (3.3.0 ~ 3.4.0), Apache Airflow (1.10.0 ~ 2.6.3)
⚔️ 공격 벡터
로그 파일에 기록된 평문 민감 정보를 탈취하여 권한 상승 또는 데이터 유출에 이용
🛡️ 대응 방법
Airflow Celery provider를 3.4.1 이상으로, Apache Airflow를 2.7.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 3.4.1 미만이면 취약한 버전이 설치된 상태입니다.
pip show apache-airflow-providers-celery | grep Version