🇰🇷 한글 설명
Apache Airflow의 Microsoft Azure 프로바이더에서 Azure Key Vault 비밀번호 백엔드 사용 시 발생하는 취약점입니다. 멀티 팀 모드 환경에서 특정 팀의 ID를 입력할 경우, 팀 범위가 지정되지 않은 조회 로직을 통해 다른 팀의 비밀번호나 변수를 탈취할 수 있습니다.
💡 쉬운 설명
여러 팀이 함께 사용하는 시스템에서 다른 팀의 이름만 알면 그 팀의 비밀번호를 몰래 가져올 수 있는 보안 허점이 발견되었습니다. 이를 방지하기 위해서는 시스템을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
The Azure Key Vault secrets backend in Apache Airflow's Microsoft Azure provider resolved a team-scoped Connection or Variable id through the team-agnostic lookup when the team-scoped lookup missed. In a deployment running multi-team mode with this backend, a caller in one team could resolve a secret belonging to another team by supplying an id that spells out that team's namespace, obtaining its credentials in full. No unusual configuration is required beyond enabling multi-team mode and using this backend. Users are advised to upgrade to apache-airflow-providers-microsoft-azure 14.1.0 or later, which refuses the team-agnostic fall-through for an id that could name a team namespace.
📍 영향받는 시스템
Apache Airflow Microsoft Azure provider (14.1.0 미만 버전)
⚔️ 공격 벡터
멀티 팀 모드에서 다른 팀의 네임스페이스를 포함한 ID를 입력하여 팀 간 경계를 우회하는 방식
🛡️ 대응 방법
apache-airflow-providers-microsoft-azure 패키지를 14.1.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 14.1.0보다 낮으면 취약한 상태이며, 14.1.0 이상이면 안전합니다.
pip show apache-airflow-providers-microsoft-azure | grep Version