Apaçe Airflow tizimida autentifikatsiyasiz masofadan turib kod bajariş imkonini beruvçi kritik zaiflik aniqlandi!

Apaçe Airflow maʼlumotlar oqimlarini boşqariş, rejalaştirilgan vazifalarni bajariş va turli axborot tizimlari örtasidagi jarayonlarni avtomatlaştiriş uçun keng qöllaniladigan oçiq kodli platforma hisoblanadi. Mazkur platformada aniqlangan CVE-2026-68982 identifikatorli kritik zaiflik esa tegişli xavfsizlik çoralari körilmagan taqdirda, tajovuzkorlarga tizimning işçi tugunlarida masofadan turib ixtiyoriy kodlarni bajariş imkonini berişi mumkin.

Zaiflik Apaçe Airflow’ning CeleryExecutor mexanizmidan foydalanadigan va 3.4.0 dan oldingi versiyalariga taalluqli. Uning asosiy xavfi şundaki, tajovuzkor Celery xabarlar brokeriga yoziş imkoniyatiga ega bölgan taqdirda, Airflow tomonidan yuborilgan topşiriqlarni tekşiriş mexanizmidagi kamçilikdan foydalanib, işçi tugunlarda zararli buyruqlarni bajartirişi mumkin.

Zaiflikning mohiyati va işlaş mexanizmi

Apaçe Airflow tizimida vazifalarni bajariş jarayoni bir neçta tarkibiy qismlar orqali amalga oşiriladi. Xususan, CeleryExecutor mexanizmi topşiriqlarni işçi tugunlarga (worker) yetkaziş va ularning bajarilişini taşkil etişda Celery xabarlar brokeridan foydalanadi. Bunda Redis yoki RabbitMQ kabi xizmatlar xabarlarni uzatiş vositasi vazifasini bajaradi.

Odatdagi iş jarayonida Airflow veb-interfeysi va REST API orqali topşiriqlarni boşqariş uçun autentifikatsiya talab etiladi. Şuningdek, broker orqali uzatiladigan ExecuteTask turidagi xabarlar maxsus raqamli imzo bilan himoyalangan JWT tokenini öz içiga oladi. Işçi tugun topşiriqni bajarişdan oldin uşbu tokenning haqiqiyligini Execution API orqali tekşiradi.

Biroq tadqiqotçilar aniqlaşiça, ExecuteCallback turidagi xabarlarni qayta işlaş jarayonida xuddi şunday tekşiruv mexanizmi yetarli darajada joriy etilmagan. Natijada, brokerga yoziş imkoniyatiga ega bölgan tajovuzkor maxsus şakllantirilgan xabar yuboriş orqali uşbu kamçilikdan foydalanişi mumkin.

Muammo xabar tarkibidagi maʼlumotlarni qayta işlaş va bajariladigan funksiyani aniqlaş mexanizmi bilan boğliq. Xususan, Airflow xabar tarkibidagi modul va funksiya nomlarini tekşirilgan manbadan kelganligini tasdiqlamasdan qayta işlaşi mumkin. Buning natijasida Python dasturlaş muhitidagi modullarni çaqiriş va ulardagi funksiyalarni işga tuşiriş imkoniyati yuzaga keladi.

Masalan, tajovuzkor tegişli şaroitlarda operatsion tizim buyruqlarini bajaruvçi funksiyalarni çaqiriş orqali işçi tugunda zararli buyruqlarni işga tuşirişi mumkin. Bu esa oddiy topşiriqni bajariş jarayonidagi zaiflik butun server ustidan nazoratni qölga kiritiş xavfigaça olib kelişi mumkinligini anglatadi.

Zaiflikning xavflilik darajasi va ehtimoliy oqibatlari

Mazkur zaiflik CWE-306 — muhim funksiyadan foydalanişdan oldin autentifikatsiya talab qilinmasligi toifasiga kiritilgan.

Apaçe tomonidan zaiflikning xavflilik darajasi Important sifatida baholangan bölsa-da, Reflectiz kompaniyasi tadqiqotçisi Or Sahar tomonidan CVSS v3.1 mezonlari asosida 9,8 ball bilan baholangan. Bu körsatkiç zaiflikning kritik darajada ekanligini anglatadi.

Zaiflikdan muvaffaqiyatli foydalanilgan taqdirda, quyidagi oqibatlar yuzaga kelişi mumkin:

  • Serverda ixtiyoriy kodlarni bajariş: tajovuzkor Airflow işçi tugunida operatsion tizim buyruqlari va zararli dasturlarni işga tuşirişi mumkin.
  • Maxfiy maʼlumotlarni qölga kiritiş: server muhitidagi özgaruvçilar, xizmat hisoblari maʼlumotlari, API kalitlari va boşqa maxfiy axborotlar oşkor etilişi mumkin.
  • Şifrlaş kalitlarini egallaş: AIRFLOW__ prefiksi bilan boşlanuvçi muhit özgaruvçilari orasida saqlanişi mumkin bölgan maxfiy sozlamalar, jumladan Fernet kaliti xavf ostida qolişi mumkin.
  • Maʼlumotlarni özgartiriş yoki yöq qiliş: tajovuzkor işçi tugun orqali foydalaniş imkoniga ega bölgan maʼlumotlar va xizmatlarga zarar yetkazişi mumkin.
  • Tizim faoliyatini izdan çiqariş: zararli jarayonlarni işga tuşiriş, resurslarni band qiliş yoki xizmatlarni töxtatiş orqali Airflow platformasining işlaşiga xalaqit berilişi mumkin.
  • Keyingi hujumlar uçun şaroit yaratiş: qölga kiritilgan hisob maʼlumotlari va maxfiy kalitlardan foydalanib, boşqa içki axborot tizimlariga ham hujum uyuştirilişi ehtimoli mavjud.

Aniqlaniş jarayoni va hujumning yaşirin amalga oşirilişi

Reflectiz tadqiqotçisi Or Sahar mazkur zaiflikni Apaçe Airflow’ning 3.2.1 va 3.3.0 versiyalarida, Redis brokeri hamda PostgreSQL maʼlumotlar bazasidan foydalangan Docker Compose sinov muhitlarida namoyiş etgan.

Tadqiqot davomida hujumning yana bir jiddiy jihati aniqlangan: zararli xabarlar orqali işga tuşirilgan buyruqlar Airflow’ning odatiy vazifalar tarixi va boşqaruv interfeysida qayd etilmasligi mumkin.

Xususan, tadqiqotçining sinovida zararli kod bajarilganiga qaramay, Airflow tizimida yangi DAG run yoki TaskInstance obyektlari yaratilmagan. Natijada, boşqaruv API orqali tekşirilganda ham bajarilgan zararli faoliyat haqida odatiy topşiriqlar tarixida maʼlumot topilmagan.

Bu holat mazkur zaiflikdan foydalaniş orqali amalga oşirilgan hujumlarni aniqlaş va tekşirişni murakkablaştiradi. Şu sababli, faqat Airflow veb-interfeysi yoki topşiriqlar tarixini kuzatiş bilan çeklanib qoliş yetarli emas. Redis yoki RabbitMQ brokerlaridagi trafik, Celery işçi jarayonlari va server operatsion tizimi jurnallarini ham muntazam tahlil qiliş talab etiladi.

Tadqiqotda yana bir eʼtiborga molik holat qayd etilgan: internet orqali ulaniş imkoniyati mavjud bölgan 211 ta Redis brokeridan 198 tasi autentifikatsiyasiz sörovlarni qabul qilgan. Bu körsatkiç xabarlar brokerlarini internet tarmoğida oçiq qoldiriş va ularga kirişni tegişli tartibda çeklamaslik qançalik jiddiy xavf tuğdirişini körsatadi.

Qaysi versiyalar zaiflikdan ta’sirlangan?

Aniqlangan kamçilik CeleryExecutor mexanizmidan foydalanadigan Apaçe Airflow’ning 3.4.0 dan oldingi versiyalariga taalluqli.

Apaçe Airflow 3.4.0 versiyasi 2026-yil 6-noyabrda çiqarilgan bölib, unda mazkur zaiflik bartaraf etilgan. Yangi versiyada işçi tugunlar callback turidagi topşiriqlarni bajarişdan oldin Execution API orqali bir martalik tokenni tekşirişi va undan foydalanişi talab etiladi.

Şu sababli, xavfsizlik nuqtayi nazaridan faqat Airflow boşqaruv serverini yangilaş yetarli emas. Execution API serveri bilan bir qatorda, CeleryExecutor’dan foydalanayotgan barça işçi tugunlar ham tuzatilgan 3.4.0 yoki undan keyingi xavfsiz versiyaga yangilanişi lozim.

Himoyalaniş va xavfsizlik çoralarini köriş böyiça tavsiyalar

Mazkur zaiflikdan foydalaniş xavfini kamaytiriş va axborot tizimlari xavfsizligini taʼminlaş maqsadida quyidagi çoralarni amalga oşiriş tavsiya etiladi:

  1. Apaçe Airflow’ni yangilaş. Tizimning barça tegişli komponentlarini 3.4.0 yoki undan keyingi, mazkur zaiflik bartaraf etilgan versiyaga yangilaş. Yangilaş jarayonida Execution API serveri va barça CeleryExecutor işçi tugunlari qamrab olinganiga işonç hosil qiliş.
  2. Xabarlar brokerini autentifikatsiya bilan himoyalaş. Redis xizmatida AUTH mexanizmini, RabbitMQ xizmatida esa foydalanuvçi nomi va parol orqali autentifikatsiyani yoqiş. Zaif yoki standart hisob maʼlumotlaridan foydalanmaslik.
  3. Tarmoq orqali kirişni çeklaş. Redis (6379) va RabbitMQ (5672) portlariga internet tarmoğidan töğridan-töğri ulaniş imkoniyatini çeklaş. Brokerlarga faqat işonçli içki tarmoqdagi va zarur vakolatga ega tizimlardan ulanişga ruxsat beriş.
  4. Kiriş huquqlarini nazorat qiliş. Redis va RabbitMQ xizmatlarida foydalanuvçilarga faqat öz vazifalarini bajariş uçun zarur bölgan minimal huquqlarni taqdim etiş. Brokerga xabar yoziş imkoniyatini qatʼiy çeklaş.
  5. Jurnal maʼlumotlarini tahlil qiliş. Celery worker jarayonlari, Redis yoki RabbitMQ brokerlari, operatsion tizim va tarmoq xavfsizligi vositalarining jurnal maʼlumotlarini muntazam tekşiriş. Xususan, kutilmagan ExecuteCallback va execute_workload xabarlarini, nomaʼlum manbalardan yuborilgan sörovlarni hamda şubhali jarayonlarni aniqlaşga eʼtibor qaratiş.
  6. Maxfiy maʼlumotlarni himoyalaş. Airflow muhit özgaruvçilari, Fernet kaliti, API tokenlari va xizmat hisoblariga tegişli maʼlumotlarning saqlanişi hamda ulardan foydalaniş tartibini qayta körib çiqiş. Agar tizim buzilgan bölişi ehtimoli aniqlansa, oşkor bölgan kalit va hisob maʼlumotlarini almaştiriş.
  7. Tizimni buzib kiriş alomatlariga tekşiriş. Şubhali jarayonlar, nomaʼlum fayllar, yangi foydalanuvçi hisoblari, kutilmagan tarmoq ulanişlari va tizimda amalga oşirilgan noodatiy özgarişlarni tekşiriş. Zarur hollarda hodisani tekşiriş uçun tegişli jurnal maʼlumotlarini saqlab qoliş.

Apaçe Airflow tizimida aniqlangan CVE-2026-68982 zaifligi xabarlar brokerining xavfsizligi va topşiriqlarni bajariş mexanizmlarida autentifikatsiya hamda işonçlilikni tekşiriş çoralarining qançalik muhim ekanligini yana bir bor namoyon etadi.

Ayniqsa, Redis yoki RabbitMQ xizmatlariga kiriş imkoniyati yetarli darajada çeklanmagan muhitlarda mazkur zaiflikdan foydalaniş serverlarda masofadan turib zararli kodlarni bajariş, maxfiy maʼlumotlarni qölga kiritiş va boşqa axborot tizimlariga hujumlarni davom ettiriş xavfini yuzaga keltirişi mumkin.

Şu munosabat bilan, Apaçe Airflow platformasidan foydalanuvçi taşkilotlarga tizim versiyasini zudlik bilan tekşiriş, barça tegişli komponentlarni xavfsiz versiyaga yangilaş, xabarlar brokerlariga kirişni çeklaş hamda xavfsizlik jurnalini kuçaytirilgan tartibda monitoring qiliş tavsiya etiladi.