🇰🇷 한글 설명
Airflow UI의 structure_data 엔드포인트가 연결된 DAG에 대한 읽기 권한을 확인하지 않고 외부 의존성 그래프 노드를 반환하는 취약점입니다. 인증된 사용자가 권한이 없는 다른 DAG의 ID와 의존성 메타데이터를 열람할 수 있어, 팀 간 DAG 의존성 토폴로지 정보가 노출될 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 자신이 볼 권한이 없는 다른 작업(DAG)의 연결 구조와 정보를 몰래 훔쳐볼 수 있는 문제입니다. 이로 인해 회사 내부의 작업 흐름 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The structure_data endpoint in the Airflow UI returned external dependency graph nodes for linked Dags without checking whether the caller had read permission on those linked Dags. An authenticated UI/API user authorized for one Dag could enumerate linked Dag IDs and dependency metadata for other Dags they were not authorized to read. Affects deployments that rely on per-Dag read scoping to keep Dag dependency topology private across teams. Users are advised to upgrade to `apache-airflow` 3.2.2 or later.
📍 영향받는 시스템
Apache Airflow 3.2.2 미만 버전
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 다른 DAG의 ID를 추측하거나 구조 데이터 엔드포인트를 호출하여 정보를 수집함
🛡️ 대응 방법
Apache Airflow를 3.2.2 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 3.2.2 미만인 경우 해당 취약점에 노출된 상태입니다.
pip show apache-airflow | grep Version