🇰🇷 한글 설명
Apache Airflow Providers Amazon 9.28.0 미만 버전의 AWS Secrets Manager/SSM Parameter Store 팀 스코핑 로직에 '/' 문자를 포함한 conn_id로 다른 팀의 시크릿을 조회할 수 있는 취약점이 존재합니다. 팀 컨텍스트가 없는 권한 있는 호출자가 conn_id를 조작하여 충돌을 유발해 접근 권한이 없는 팀의 시크릿을 탈취할 수 있으며, 9.28.0에서는 스코프 구분자를 '--'로 변경하고 팀 컨텍스트 부재 시 팀 형태의 conn_id를 거부하여 수정되었습니다.
💡 쉬운 설명
Airflow의 멀티테넌트 팀 기능에서 특정 문자를 사용한 이름으로 다른 팀의 암호를 접근할 수 있는 보안 결함이 있습니다. 최신 버전(9.28.0 이상)으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
In the AWS Secrets Manager and SSM Parameter Store secrets backends of `apache-airflow-providers-amazon` prior to 9.28.0, the team-scoping logic could resolve a `conn_id` containing a `/` (e.g. `"my_team/conn"`) to the same path as another team's team-scoped secret when the caller had no team context. A privileged caller without team context could therefore retrieve another team's secret by crafting a colliding `conn_id`. Fixed in 9.28.0 by switching the team-scope separator to `--` and rejecting team-shaped `conn_id`s when team context is absent. Affects the experimental multi-tenant teams feature only. Users are recommended to upgrade to `apache-airflow-providers-amazon` 9.28.0, which fixes the issue.
📍 영향받는 시스템
apache-airflow-providers-amazon < 9.28.0 (실험적 멀티테넌트 팀 기능 활성화된 환경)
⚔️ 공격 벡터
팀 컨텍스트 없는 권한 있는 호출자가 '/'를 포함한 conn_id를 조작하여 다른 팀의 시크릿 경로와 충돌시켜 시크릿 탈취
🛡️ 대응 방법
apache-airflow-providers-amazon을 9.28.0 이상으로 업그레이드
🔧 검증 코드
Version이 9.28.0 이상이면 패치됨, 이하면 취약 상태
pip show apache-airflow-providers-amazon 2>/dev/null | grep Version