Apache Airflow Security
Basic Information
Apache Airflow inatumika kama jukwaa la kuandaa na kupanga mipango ya data au kazi. Neno "kuandaa" katika muktadha wa mipango ya data linaashiria mchakato wa kupanga, kuratibu, na kusimamia kazi ngumu za data zinazotokana na vyanzo mbalimbali. Lengo kuu la mipango hii ya data iliyopangwa ni kutoa seti za data zilizoshughulikiwa na zinazoweza kutumika. Seti hizi za data zinatumika sana na maelfu ya programu, ikiwa ni pamoja na lakini sio tu zana za akili ya biashara, sayansi ya data na mifano ya kujifunza mashine, ambazo zote ni msingi wa utendaji wa programu za big data.
Kwa msingi, Apache Airflow itakuruhusu kupanga utekelezaji wa msimbo wakati kitu (tukio, cron) kinatokea.
Local Lab
Docker-Compose
Unaweza kutumia faili ya usanidi ya docker-compose kutoka https://raw.githubusercontent.com/apache/airflow/main/docs/apache-airflow/start/docker-compose.yaml kuanzisha mazingira kamili ya docker ya apache airflow. (Ikiwa uko kwenye MacOS hakikisha unatoa angalau 6GB ya RAM kwa VM ya docker).
Minikube
Njia rahisi moja ya kufanya kazi apache airflow ni kuikimbia na minikube:
Airflow Configuration
Airflow inaweza kuhifadhi taarifa nyeti katika usanidi wake au unaweza kupata usanidi dhaifu ulio katika mahali:
Airflow RBAC
Kabla ya kuanza kushambulia Airflow unapaswa kuelewa jinsi ruhusa zinavyofanya kazi:
Attacks
Web Console Enumeration
Ikiwa una ufikiaji wa console ya wavuti unaweza kuwa na uwezo wa kufikia baadhi au yote ya taarifa zifuatazo:
Variables (Taarifa nyeti za kawaida zinaweza kuhifadhiwa hapa)
Connections (Taarifa nyeti za kawaida zinaweza kuhifadhiwa hapa)
Fikia kwenye
http://<airflow>/connection/list/
Configuration (Taarifa nyeti kama
secret_key
na nywila zinaweza kuhifadhiwa hapa)Orodha ya watumiaji & majukumu
Code ya kila DAG (ambayo inaweza kuwa na taarifa za kuvutia)
Retrieve Variables Values
Variables zinaweza kuhifadhiwa katika Airflow ili DAGs ziweze kufikia thamani zao. Ni sawa na siri za majukwaa mengine. Ikiwa una ruhusa za kutosha unaweza kuzifikia kwenye GUI katika http://<airflow>/variable/list/
.
Airflow kwa kawaida itaonyesha thamani ya variable kwenye GUI, hata hivyo, kulingana na hii inawezekana kuweka orodha ya variables ambazo thamani zitakuwa zinaonekana kama asterisks katika GUI.
Hata hivyo, hizi thamani bado zinaweza kupatikana kupitia CLI (unahitaji kuwa na ufikiaji wa DB), kutekeleza DAG isiyo na mipaka, API inayofikia mwisho wa variables (API inahitaji kuwezeshwa), na hata GUI yenyewe! Ili kufikia hizo thamani kutoka kwenye GUI chagua tu variables unazotaka kufikia na bonyeza kwenye Actions -> Export. Njia nyingine ni kufanya bruteforce kwa thamani iliyofichwa kwa kutumia uchujaji wa utafutaji hadi upate:
Privilege Escalation
Ikiwa usanidi wa expose_config
umewekwa kuwa True, kutoka kwa jukumu la Mtumiaji na juu wanaweza kusoma usanidi kwenye wavuti. Katika usanidi huu, secret_key
inaonekana, ambayo inamaanisha mtumiaji yeyote mwenye hii halali wanaweza kuunda keki yake iliyosainiwa ili kujifanya kuwa akaunti nyingine yoyote ya mtumiaji.
DAG Backdoor (RCE katika Airflow worker)
Ikiwa una ufikiaji wa kuandika mahali ambapo DAGs zimehifadhiwa, unaweza tu kuunda moja ambayo itakutumia reverse shell. Kumbuka kwamba reverse shell hii itatekelezwa ndani ya airflow worker container:
DAG Backdoor (RCE katika Airflow scheduler)
Ikiwa utaweka kitu kufanywa katika mzizi wa msimbo, wakati wa kuandika hii, kitafanywa na scheduler baada ya sekunde chache baada ya kukiweka ndani ya folda ya DAG.
Uundaji wa DAG
Ikiwa utafanikiwa kushambulia mashine ndani ya klasta ya DAG, unaweza kuunda scripts za DAG mpya katika folda ya dags/
na zitakuwa zinakopiwa katika mashine nyingine ndani ya klasta ya DAG.
Uingiliaji wa Kode ya DAG
Unapotekeleza DAG kutoka kwa GUI unaweza kupitisha hoja kwake. Hivyo, ikiwa DAG haijakodishwa vizuri inaweza kuwa na udhaifu wa Uingiliaji wa Amri. Hivyo ndivyo ilivyotokea katika CVE hii: https://www.exploit-db.com/exploits/49927
Kila unachohitaji kujua ili kuanza kutafuta uingiliaji wa amri katika DAGs ni kwamba parameta zinapatikana kwa kode dag_run.conf.get("param_name")
.
Zaidi ya hayo, udhaifu sawa unaweza kutokea na mabadiliko (zingatia kwamba kwa ruhusa ya kutosha unaweza kudhibiti thamani ya mabadiliko katika GUI). Mabadiliko yanapatikana kwa:
Ikiwa zinatumika kwa mfano ndani ya amri ya bash, unaweza kufanya uingiliaji wa amri.
Last updated