🇰🇷 한글 설명
secrets masker에서 `access_key` 및 `connection_string` 속성이 민감한 정보로 분류되지 않아, 읽기 권한이 있는 사용자가 UI나 로그를 통해 해당 값을 확인할 수 있는 취약점입니다. 특히 Azure Service Bus를 사용하는 경우 민감한 연결 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
중요한 비밀번호나 접속 키가 로그 파일이나 화면에 그대로 노출될 수 있는 보안 결함입니다. 이를 방치하면 권한이 있는 사람이 시스템 접속 정보를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The `access_key` and `connection_string` connection properties were not marked as sensitive names in secrets masker. This means that user with read permission could see the values in Connection UI, as well as when Connection was accidentaly logged to logs, those values could be seen in the logs. Azure Service Bus used those properties to store sensitive values. Possibly other providers could be also affected if they used the same fields to store sensitive data.
If you used Azure Service Bus connection with those values set or if you have other connections with those values storing sensitve values, you should upgrade Airflow to 3.1.8
📍 영향받는 시스템
Azure Service Bus 연결 정보를 사용하는 Airflow 3.1.8 미만 버전
⚔️ 공격 벡터
읽기 권한을 가진 사용자가 로그 파일이나 연결 설정 UI를 조회하여 민감한 인증 정보를 탈취
🛡️ 대응 방법
Airflow를 3.1.8 버전 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 3.1.8 미만인 경우 취약한 버전이 설치되어 있음을 의미합니다.
airflow version 2>/dev/null | grep -E '3\.[0-9]\.[0-8]'