🇰🇷 한글 설명
Kubernetes Executor에서 워커가 사용하는 JWT 토큰이 쿠버네티스 파드에 대한 읽기 전용 접근 권한을 가진 사용자에게 노출되는 취약점입니다. 읽기 전용 접근권한자가 토큰을 추출하여 Task SDK 권한으로 작업을 실행하고 Airflow 데이터베이스 상태를 수정할 수 있습니다.
💡 쉬운 설명
Kubernetes에서 Airflow를 실행할 때 내부 인증토큰(JWT)이 실수로 노출되어, 제한된 권한의 사용자가 강력한 권한을 얻을 수 있습니다. 이를 통해 시스템 설정을 악의적으로 변경하거나 데이터베이스를 조작할 수 있습니다.
🇺🇸 원문 (English)
JWT tokens that were used by workers in Kubernetes Executors have been exposed to users who had read only access to Kuberentes Pods. This could allow users with just read-only access to perform actions that were only available to running tasks via Task SDK and potentially allow to modify state of Airflow Database for tasks.
📍 영향받는 시스템
Apache Airflow with Kubernetes Executor (2.3.0 이상 특정 버전들)
⚔️ 공격 벡터
쿠버네티스 파드 logs/config 읽기 접근 시 JWT 토큰 추출 후 Task SDK를 통한 권한 상승
🛡️ 대응 방법
Apache Airflow를 보안 패치가 적용된 최신 버전으로 업그레이드하고 Kubernetes RBAC 정책 강화
🔧 검증 코드
출력된 Airflow 버전이 패치된 버전(Apache Airflow 보안 공지 확인)보다 낮으면 취약함
python3 -c "import airflow; print(airflow.__version__)" 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'