CVE-2026-68969 in Airflow
Zusammenfassung
von VulDB • 12.08.2026
Apache Airflow hat Variable-Werte und den Inhalt von Connection-`extra` im Audit-Log im Klartext gespeichert, wenn sie über die Bulk-Endpunkte (`PATCH /api/v2/variables` und `PATCH /api/v2/connections`) übermittelt wurden. Die Maskierung des Audit-Logs erkannte nur Top-Level-Anfragefelder; da eine Bulk-Anfrage ihre Entitäten zwei Ebenen tiefer verschachtelt, wurde keine Maskierung auf diese angewendet. Jeder authentifizierte Benutzer mit Lesezugriff zum Audit-Log – der nicht einmal zwingend über Leserechte für Variablen oder Connections verfügen muss – konnte diese Geheimnisse unverändert wiederherstellen. Der Connection-`extra`-Eintrag wird im Log unverschlüsselt gespeichert, während die Verbindungstabelle ihn verschlüsselt speichert. Die Aktion *Variablen importieren* in der Airflow-Benutzeroberfläche sendet eine POST-Anfrage an diesen Endpunkt; daher schrieb ein normaler Operator beim Import jedes Geheimnis aus der Datei ins Log. Dies ist ein anderer Codepfad als bei CVE-2026-50204: Die Korrektur für dieses Problem wurde in Version 3.3.0 bereitgestellt und betrifft nur die Single-Entity-Endpunkte, sodass Bereitstellungen, die aufgrund dieser Advisory aktualisiert wurden, weiterhin betroffen sind und erneut aktualisiert werden müssen. Es wird empfohlen, auf apache-airflow 3.3.1 oder höher zu aktualisieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.