KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-40127 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache Airflow 是一个可编程，调度和监控的工作流平台，基于有向无环图(DAG)，Airflow 可以定义一组有依赖的任务，按照依赖依次执行。
CVE-2022-40127 中，若攻击者可访问到Apache Airflow的后台UI，并且环境中存在默认dag的话，可构造恶意请求借助run_id 执行任意命令。
安全版本
Apache Airflow 2.4.0
影响范围
应用：apache airflow（影响面 Up to (excluding) 2.4.0）
解决方案
官方已发布安全版本 2.4.0，建议升级至安全版本或以上。
参考信息
http://www.openwall.com/lists/oss-security/2022/11/14/2
https://github.com/apache/airflow/pull/25960
https://lists.apache.org/thread/cf132hgm6jvzvsbpsozl3plf1r4cwysy
https://www.openwall.com/lists/oss-security/2022/11/14/2
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。