「Apache Airflow」に深刻な脆弱性 - 最新版に更新を

ワークフロー管理プラットフォーム「Apache Airflow」に深刻な脆弱性が明らかとなった。

コンポーネント「データベース」のウェブサーバにおいて、セッション固定化の脆弱性「CVE-2022-38054」が明らかとなったもの。「同2.3.3」から「同2.2.4」までのバージョンが影響を受ける。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、「クリティカル（Critical）」と評価されている。

またデーモンとして起動した場合の権限制御に問題があり、ホームディレクトリ上に書き込み可能なファイルが生成され、ローカルユーザーによって任意のコンテンツが公開可能となる脆弱性「CVE-2022-38170」も明らかとなった。

開発チームでは、8月23日に「同2.3.4」をリリース。いずれの脆弱性も修正されている。

（Security NEXT - 2022/09/12 ）ツイート