CVE-2022-40127: Apache Airflow < 2.4.0 DAG example_bash_operator RCE

## 影响组件 Apache Airflow < 2.4.0 ## 漏洞描述 Apache Airflow 是一个可编程，调度和监控的工作流平台，基于有向无环图(DAG)，Airflow 可以定义一组有依赖的任务，按照依赖依次执行。 CVE-2022-40127 中，若攻击者可访问到Apache Airflow的后台UI，并且环境中存在默认dag的话，可构造恶意请求借助run_id [执行任意命令](mrxn.net/tag/漏洞 "执行任意命令")。 ## 环境搭建 这采用docker-compose的方式来搭建，下载官方仓库低于2.4.0版本的dock-compose文件启动。 ``` mkdir CVE-2022-40127 && cd CVE-2022-40127 curl -LfO 'https://airflow.apache.org/docs/apache-airflow/2.3.4/docker-compose.yaml' #or wget https://github.com/Mr-xn/CVE-2022-40127/raw/main/docker-compose.yaml mkdir -p ./dags ./logs ./plugins echo -e "AIRFLOW_UID=$(id -u)" > .env docker-compose up airflow-init docker-compose up -d #waiting some times open localhost:8080 ``` > 备注：如果是mac，记得先打开docker APP ，不然会出现类似错误： Cannot connect to the Dock... 阅读全文>>