Tenable, le spécialiste de la gestion de l’exposition et du cyber risque, est revenu sur la découverte d’une vulnérabilité de type XSS dans les services Apache Airflow d’AWS et de GCP.
Liv Matan, chercheur senior en sécurité de l’équipe de recherche de Tenable, a découvert que ces services étaient vulnérables à la CVE-2023-29247 (Stored XSS). Cette vulnérabilité a déjà été signalée et corrigée par Apache. Cependant, les services gérés fournis par AWS et GCP utilisaient une version obsolète et non corrigée.
« Les organisations doivent prendre des mesures concernant les instances Apache Airflow déjà déployées dans leurs services gérés AWS ou GCP car elles peuvent fonctionner via des images obsolètes (les instances Apache Airflow gérées par Azure sont également exposées mais la vulnérabilité n’est pas exploitable). Il est essentiel d’examiner et d’identifier ces déploiements vulnérables, car les instances peuvent rester exposées si elles ne sont pas mises à jour », explique Liv Matan, Senior Security Researcher chez Tenable Research.
Tenable a également publié un article de blog détaillant l’historique de cette vulnérabilité.
