🇰🇷 한글 설명
Apache Airflow의 벌크 Task Instances API에서 권한 검증 로직 오류가 발견되었습니다. 인증된 사용자가 URL 경로의 DAG ID와 요청 본문의 DAG ID를 다르게 설정할 경우, 권한이 없는 다른 DAG의 태스크 상태를 변경할 수 있습니다.
💡 쉬운 설명
사용자가 자신이 관리할 수 있는 작업 목록만 수정해야 하는데, 주소창에는 본인 것을 적고 내용물에는 남의 것을 적으면 남의 작업까지 조작할 수 있는 보안 허점이 발견되었습니다. 이로 인해 팀 간의 작업 격리가 무너질 수 있습니다.
🇺🇸 원문 (English)
A bug in Apache Airflow's bulk Task Instances API (`PATCH/DELETE /api/v2/dags/{dag_id}/dagRuns/{dag_run_id}/taskInstances`) evaluated authorization against the `dag_id` resolved from the URL path while operating on the `dag_id` / `dag_run_id` extracted from request-body entity fields. An authenticated UI/API user with edit permission on one Dag could mutate Task Instance state in any other Dag by keeping the authorized Dag's ID in the URL path and naming the target Dag's IDs in the request body entities. Affects deployments that rely on per-Dag edit-scope to keep Task Instance state isolated between teams. Users are advised to upgrade to `apache-airflow` 3.2.2 or later.
📍 영향받는 시스템
Apache Airflow 3.2.2 미만 버전
⚔️ 공격 벡터
API 요청 시 URL 경로에는 권한이 있는 DAG ID를 넣고, 요청 본문(Request Body)에는 공격 대상인 다른 DAG ID를 포함하여 전송
🛡️ 대응 방법
Apache Airflow를 3.2.2 이상의 최신 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 3.2.2보다 낮으면 취약한 상태입니다.
pip show apache-airflow | grep Version