Trusted Design

CVE-2020-11978 の詳細

CVEの情報

説明:
An issue was found in Apache Airflow versions 1.10.10 and below. A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow which would allow any authenticated user to run arbitrary commands as the user running airflow worker/scheduler (depending on the executor in use). If you already have examples disabled by setting load_examples=False in the config then you are not vulnerable.

CVE更新日: 2020-07-17 00:15:10.337000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-01-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.991890000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2020-11978について、以下の観点で解説します。

1. 脆弱性の概要

Apache Airflow のバージョン1.10.10以前に存在するリモートコード/コマンドインジェクションの脆弱性です。この脆弱性は、Airflowに同梱されているサンプルDAG (Directed Acyclic Graph) の1つに発見されました。これにより、認証されたユーザーであれば誰でも、Airflowのワーカーまたはスケジューラープロセスを実行しているユーザーとして任意のコマンドを実行することが可能になります。脆弱性の根本原因は、サンプルDAGファイル内の不適切な入力サニタイズにあります。ユーザーが制御する入力が、適切な検証やエスケープなしにシェルコマンドに直接渡されることで、攻撃者が悪意のあるコマンドを注入し、システムによって実行させることが可能になります。

1.1 影響

本脆弱性が悪用されると、影響を受けるシステムの機密性、完全性、可用性が完全に侵害される可能性があります。攻撃者はAirflowプロセスと同じ権限で任意のシェルコマンドを実行できるため、システムが完全に侵害される可能性もあります。具体的な影響は、使用されているエグゼキューターの設定によって異なります。

1.2 深刻度

この脆弱性は、一般的に「クリティカル」または「HIGH」と評価されています。リモートコード実行 (RCE) を可能にするため、非常に深刻な脆弱性です。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性カタログにも掲載されており、実世界で活発に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されません。脆弱性はApache Airflowアプリケーション自体にあるため、脆弱なバージョンのApache Airflowを実行している任意のOSが影響を受けます。

2.2 影響を受ける設定

  • Apache Airflow バージョン 1.10.10 およびそれ以前のバージョン
  • デフォルトのサンプルDAGが有効になっている (設定ファイルで load_examples=True) Apache Airflowのインストール
  • load_examples=False に設定されている場合は、本脆弱性の影響を受けません。
  • すべてのエグゼキュータータイプ (ワーカーまたはスケジューラー) を使用しているデプロイが影響を受けます。

3. 影響を受けた時の兆候

  • Airflowのワーカーまたはスケジューラーのログにおける予期せぬコマンド実行パターン。
  • Airflowサービスアカウントからの異常なプロセス生成。
  • Airflowプロセスから予期しない宛先へのネットワーク接続。
  • 通常の変更期間外におけるDAGファイルまたはAirflow設定の変更。
  • 実行ログにおける偵察コマンド（whoami、id、unameなど）の痕跡。

4. 推奨対策

4.1 本対策

  • Apache Airflow をバージョン 1.10.11 以降にアップグレードしてください。

4.2 暫定回避策（緩和策）

  • 即座にアップグレードできない場合は、Airflow設定ファイル (airflow.cfg) で load_examples=False を設定してサンプルDAGを無効にしてください。
  • Airflowの管理コンソールから手動でサンプルDAGをオフにすることも可能です。
  • Airflowのアクセス制御を見直し、不要なユーザーアカウントを削除してください。
  • 既存のDAGに同様のコマンドインジェクションの脆弱性がないか監査してください。
  • 潜在的な侵害の範囲を制限するために、ネットワークセグメンテーションを実装してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る