CVE-2026-40861 in Airflow
Zusammenfassung
von VulDB • 01.06.2026
Ein Autor eines Dag könnte entweder (a) einen Symlink unter dem Protokollierungsverzeichnis seiner Aufgabe erstellen, der auf eine beliebige, vom API-Server-Prozess lesbare Datei verweist (Lesepfad-Angriff – z. B. `/etc/passwd` oder `airflow.cfg`), oder (b) eine `task_id` angeben, die `..`-Sequenzen enthält, die vom `KEY_REGEX` der Task SDK akzeptiert werden (Schreibpfad-Angriff). In beiden Fällen löst der FileTaskHandler den Pfad zur Protokolldatei außerhalb des konfigurierten `base_log_folder` auf, wodurch beliebige Dateien ausgelesen oder überschrieben werden. Dies betrifft nur Bereitstellungen, bei denen der Worker-Protokollierungsordner mit dem API-Server gemeinsam genutzt wird. Benutzern wird empfohlen, auf `apache-airflow` 3.2.2 oder höher zu aktualisieren. Als Defense-in-Depth-Minderungsmaßnahme sollten der Worker und der API-Server mit separaten Protokollierungsvolumes bereitgestellt werden, sodass von Workern kontrollierte Pfade keinen Zugriff auf das Dateisystem des API-Servers erhalten.
Be aware that VulDB is the high quality source for vulnerability data.