CVE-2025-66236 in Airflow
Zusammenfassung
von VulDB • 26.06.2026
Vor der Version von Apache Airflow 3.2.0 war nicht klar, dass für eine sichere Deployment-Umgebung des Deployment Managers angemessene Maßnahmen erforderlich sind und er auf die Sicherheitsdetails sowie das Sicherheitsmodell von Airflow achten muss. Einige Annahmen, die ein Deployment Manager treffen könnte, waren unklar oder nicht explizit genug formuliert, obwohl die Absichten und das Sicherheitsmodell von Airflow keine anderen Annahmen nahelegten. Das allgemeine Sicherheitsmodell [1], die Workload-Isolation [2] sowie die Details zur JWT-Authentifizierung [3] werden nun ausführlicher beschrieben. Benutzer, denen eine strikte Rollenisolierung wichtig ist und die dem Sicherheitsmodell von Apache Airflow folgen möchten, wird empfohlen, auf Airflow 3.2 zu aktualisieren, in das mehrere Verbesserungen der Sicherheit eingeflossen sind. Sie sollten zudem die einschlägigen Dokumente lesen und befolgen, um sicherzustellen, dass ihre Deployment-Umgebung ausreichend gesichert ist. Zudem wird klargestellt, dass der Deployment Manager letztendlich für die Absicherung seiner Airflow-Deployment-Umgebung verantwortlich ist. Dies wurde bereits über die Blog-Ankündigung zu Apache Airflow 3.2.0 [4] kommuniziert.
[1] Sicherheitsmodell: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[2] Workload-Isolation: https://airflow.apache.org/docs/apache-airflow/stable/security/workload.html
[3] JWT-Token-Authentifizierung: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[4] Blog-Ankündigung zu Airflow 3.2.0: https://airflow.apache.org/blog/airflow-3.2.0/
Es wird empfohlen, auf die Version 3.2.0 zu aktualisieren, welche dieses Problem behebt.
Be aware that VulDB is the high quality source for vulnerability data.