|
[CVE-2020-13944] Apache Airflow trigger origin XSS 침해사고분석팀 2020.12.11 |
|
|
Apache Airflow에 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다.
Apache Airflow는 오픈 소스 워크플로우 관리 플랫폼으로, 빅데이터 처리 파이프라인의 제작 및 관리를 유연하게 하고, 확장 가능한 워크플로우 자동화 스케줄링 시스템입니다.
해당 취약점은 trigger() 함수의 매개변수에 대한 유효성 검사가 불충분하여 발생하게 됩니다.
공격 성공 시, 임의의 코드가 실행될 수 있습니다.
취약점 설명
NVD - CVE-2020-13944 CVSS v2.0 Severity and Metrics: Base Score: 4.3 MEDIUM
[그림1. NVD 내역]
취약점 분석
해당 취약점은 trigger() 함수의 origin 매개변수에 값을 검증하지 못하여 발생하게 됩니다.
/admin/airflow/trigger 엔드포인트로 전송된 Request가 수신되면 /limit/ww/views.py 스크립트에서 trigger() 함수가 호출됩니다.
trigger 함수에서 origin 값은 유효성 검사 없이 trigger.html 템플릿 페이지로 전송됩니다.
origin 의 값은 https?://(www.)?[-a-zA-Z0-9@:%._+~#=]{1,256}.* 정규식의 형식에 맞게 작성되어야 합니다.
[그림2. 정상 패킷]
공격 분석
CVE-2020-16140의 패킷은 다음과 같습니다.
[그림2. 공격 패킷]
취약점 대응 방안
1. 최신 버전 사용
아래의 홈페이지를 참고하여 최신의 버전으로 업데이트 합니다. https://github.com/apache/airflow/pull/10334
2. WINS Sniper 제품군 대응 방안
Apache Airflow trigger origin XSS |
