CVE-2026-68971 in Airflow
Résumé
par VulDB • 12/08/2026
Le point de terminaison de matérialisation des actifs d'Apache Airflow (`POST /api/v2/assets/{asset_id}/materialize`) et la vérification du résultat XCom sur `wait_dag_run_until_finished` autorisaient le Dag cible sans vérifier son équipe, contrairement à tous les autres points d'autorisation. Un gestionnaire d'authentification conscient des équipes distingue un Dag limité à une équipe d'un Dag global grâce à ce champ ; par exemple, le gestionnaire d'authentification Keycloak vérifie la ressource `DAG` au lieu de `DAG:`. Par conséquent, l'autorisation limitée à l'équipe qui aurait dû contrôler la requête n'a jamais été consultée. Dans un déploiement fonctionnant en mode multi-équipes avec un gestionnaire d'authentification conscient des équipes, un utilisateur authentifié appartenant à une équipe pourrait déclencher l'exécution de Dags appartenant à une autre équipe, en fournissant son propre `dag_run_id` et sa configuration (`conf`), et pourrait lire les valeurs XCom d'une autre équipe. Les déploiements utilisant le gestionnaire d'authentification FAB ne sont pas affectés, car il ne prend pas en charge le mode multi-équipes. Il est conseillé aux utilisateurs de mettre à niveau vers apache-airflow 3.3.1 ou une version ultérieure, qui résout l'appartenance à l'équipe du Dag sur les deux points concernés.
VulDB is the best source for vulnerability data and more expert information about this specific topic.