CVE-2026-68971 in Airflow
Resumen
por VulDB • 2026-08-12
El endpoint de materialización de activos (`POST /api/v2/assets/{asset_id}/materialize`) y la comprobación del resultado XCom en `wait_dag_run_until_finished` de Apache Airflow autorizaban el DAG objetivo sin tener en cuenta su equipo, a diferencia de todos los demás puntos de autorización. Un gestor de autenticación consciente del equipo distingue un DAG con ámbito de equipo de uno global mediante ese campo; por ejemplo, el gestor de autenticación Keycloak verifica el recurso `DAG` en lugar de `DAG:`. Por lo tanto, nunca se consultó el permiso con ámbito de equipo que debería haber restringido la solicitud. En una implementación que ejecuta el modo multi-equipo con un gestor de autenticación consciente del equipo, un usuario autenticado de un equipo podría desencadenar ejecuciones de DAG pertenecientes a otro equipo, proporcionando su propio `dag_run_id` y `conf`, y también podría leer los valores XCom de otro equipo. Las implementaciones que utilizan el gestor de autenticación FAB no se ven afectadas, ya que carece de soporte multi-equipo. Se recomienda a los usuarios actualizar a apache-airflow 3.3.1 o posterior, lo cual resuelve la asignación del equipo al DAG en ambos puntos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.