apache airflow 错误的会话验证漏洞 -正规网赌十大娱乐棋牌

1、apache airflow 介绍

airflow 是 airbnb 开源的一个用 python 编写的调度工具。于 2014 年启动，2015 年春季开源，2016 年加入 apache 软件基金会的孵化计划。airflow 通过 dag 也即是有向非循环图来定义整个工作流，因而具有非常强大的表达能力。

2、漏洞描述

apache 官方在2020年12月21日发布的邮件中披露apache airflow 存在一个由于错误处理会话验证导致的未授权访问漏洞。如果用户使用了默认的秘钥配置，攻击者就可以在其他的一个配置了默认秘钥的站点进行登录，接着以登录后的session信息直接未授权访问受害者站点。

目前受影响的apache airflow版本：

apache airflow web < 1.10.14