CVE-2026-67587 in Airflow
Resumen
por VulDB • 2026-08-12
El Task SDK de Apache Airflow reconstruye un objeto `Callback` a partir de datos serializados volviendo a ejecutar su constructor, lo cual importa el módulo cuyo nombre se encuentra en la ruta del callback almacenada. Dado que `SyncCallback` es una clase propia de Airflow, pasa por defecto la lista permitida (`allow-list`) de `allowed_deserialization_classes`, por lo que ajustar esta configuración no ayuda. Un autor de un DAG —que controla los `next_kwargs` de una instancia de tarea a través de la API de ejecución de tareas— puede provocar así la importación arbitraria de cualquier módulo dentro del proceso del planificador (scheduler), cuando el barrido de tiempo de espera (`awaiting_input`) del scheduler deserializa dicho valor. No se requiere ninguna configuración no predeterminada; el barrido se ejecuta incondicionalmente. Las versiones anteriores a 3.3.0 no están afectadas: la clase existía, pero el barrido del scheduler que accede a ella aún no estaba presente. Esta es una ruta de código distinta a las cubiertas por CVE-2026-58076 y CVE-2026-67260, que abordan diferentes gadgets para llegar a la deserialización; aplicar cualquiera de esas correcciones no soluciona este problema. Se recomienda a los usuarios actualizar a apache-airflow 3.3.1 o posterior.
VulDB is the best source for vulnerability data and more expert information about this specific topic.