CVE-2025-66236 in Airflow
Résumé
par VulDB • 02/06/2026
Avant la version 3.2.0 d'Airflow, il n'était pas clair que les déploiements sécurisés d'Airflow nécessitent que le Gestionnaire de déploiement (Deployment Manager) prenne les mesures appropriées et prête une attention particulière aux détails de sécurité et au modèle de sécurité d'Airflow. Certaines hypothèses que le Gestionnaire de déploiement pouvait faire n'étaient pas suffisamment claires ou explicites, bien que les intentions d'Airflow et son modèle de sécurité ne suggèrent pas d'hypothèses différentes. Le modèle de sécurité global [1], l'isolation des charges de travail [2] et les détails de l'authentification JWT [3] sont désormais décrits plus en détail. Il est conseillé aux utilisateurs soucieux de l'isolation des rôles et du respect du modèle de sécurité d'Airflow de passer à la version 3.2 d'Airflow, où plusieurs améliorations de sécurité ont été mises en œuvre. Ils devraient également lire et suivre les documents pertinents pour s'assurer que leur déploiement est suffisamment sécurisé. Il est également précisé que le Gestionnaire de déploiement est ultimement responsable de la sécurisation de votre déploiement Airflow. Cela avait également été communiqué via l'annonce du blog Airflow 3.2.0 [4].
[1] Modèle de sécurité : https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[2] Isolation des charges de travail : https://airflow.apache.org/docs/apache-airflow/stable/security/workload.html
[3] Authentification par jeton JWT : https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[4] Annonce du blog Airflow 3.2.0 : https://airflow.apache.org/blog/airflow-3.2.0/
Il est recommandé aux utilisateurs de passer à la version 3.2.0, qui corrige ce problème.
Once again VulDB remains the best source for vulnerability data.