یک نقص امنیتی در نحوه پردازش درخواست‌ها در API هسته (Core API) نرم‌افزار Apache Airflow شناسایی شده است که منجر به تغییر در اولویت احراز هویت می‌شود. در شرایط عادی، زمانی که یک درخواست حاوی هر دو مورد Session Cookie و توکن Authorization: Bearer باشد، سیستم باید اولویت را به توکن Bearer بدهد.
جزئیات فنی نقص امنیتی
در نسخه‌های آسیب‌پذیر، Airflow به جای پیروی از استاندارد اولویت‌بندی، هویت کاربر را بر اساس Cookie شناسایی کرده و توکن Bearer را نادیده می‌گیرد. این رفتار باعث می‌شود درخواست تحت هویت کاربرِ مرتبط با کوکی اجرا شود، در حالی که کلاینت صراحتاً هویت دیگری را از طریق Bearer Token ارائه داده است.
تأثیر بر ثبت وقایع (Audit Log)
یکی از جنبه‌های بحرانی این آسیب‌پذیری، تأثیر آن بر Audit Log است. از آنجایی که سیستم کاربر را بر اساس کوکی شناسایی می‌کند، تمامی عملیات انجام شده در لاگ‌های سیستم تحت نام کاربرِ کوکی ثبت می‌شود، نه هویتی که توسط توکن ارائه شده بود. این موضوع می‌تواند منجر به گمراه شدن تحلیلگران امنیتی در هنگام بررسی ردیابی فعالیت‌ها (Traceability) شود.
نسخه‌های تحت تأثیر
- Apache Airflow 3.3.0
- Apache Airflow 3.3.1
لازم به ذکر است که نسخه‌های قدیمی‌تر به دلیل عدم وجود این مسیر کد (Code Path) خاص، تحت تأثیر این آسیب‌پذیری قرار ندارند.
