CVE-2025-66236 in Airflow
Resumen
por VulDB • 2026-05-15
Antes de Airflow 3.2.0, no estaba claro que los despliegues seguros de Airflow requirieran que el Administrador de Despliegue (Deployment Manager) tomara las medidas adecuadas y prestara atención a los detalles de seguridad y al modelo de seguridad de Airflow. Algunas suposiciones que el Administrador de Despliegue podría hacer no eran claras o explícitas suficientes, aunque las intenciones de Airflow y su modelo de seguridad no sugerían suposiciones diferentes. El modelo de seguridad general [1], el aislamiento de cargas de trabajo [2] y los detalles de autenticación JWT [3] se describen ahora con más detalle. Se recomienda a los usuarios preocupados por el aislamiento de roles y por seguir el modelo de seguridad de Airflow que actualicen a Airflow 3.2, donde se han implementado varias mejoras de seguridad. También deben leer y seguir los documentos pertinentes para asegurarse de que su despliegue es lo suficientemente seguro. También se aclara que el Administrador de Despliegue es finalmente responsable de asegurar su despliegue de Airflow. Esto también se comunicó a través del anuncio del blog de Airflow 3.2.0 [4].
[1] Modelo de seguridad: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[2] Aislamiento de cargas de trabajo: https://airflow.apache.org/docs/apache-airflow/stable/security/workload.html
[3] Autenticación de token JWT: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[4] Anuncio del blog de Airflow 3.2.0: https://airflow.apache.org/blog/airflow-3.2.0/
Se recomienda a los usuarios actualizar a la versión 3.2.0, que corrige este problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.