CVE-2025-66236 in Airflow
Riassunto
di VulDB • 21/06/2026
Prima di Airflow 3.2.0, non era chiaro che le distribuzioni sicure di Airflow richiedano che il Deployment Manager esegua le azioni appropriate e presti attenzione ai dettagli di sicurezza e al modello di sicurezza di Airflow. Alcune assunzioni che il Deployment Manager potrebbe fare non erano chiare o esplicite a sufficienza, sebbene le intenzioni di Airflow e il suo modello di sicurezza non suggerissero assunzioni diverse. Il modello di sicurezza generale [1], l'isolamento del carico di lavoro [2] e i dettagli di autenticazione JWT [3] sono ora descritti in modo più dettagliato. Si consiglia agli utenti interessati all'isolamento dei ruoli e al rispetto del modello di sicurezza di Airflow di eseguire l'aggiornamento ad Airflow 3.2, in cui sono state implementate diverse migliorie alla sicurezza. Dovrebbero inoltre leggere e seguire i documenti pertinenti per assicurarsi che la propria distribuzione sia sufficientemente sicura. Si chiarisce inoltre che il Deployment Manager è l'ultimo responsabile della sicurezza della propria distribuzione Airflow. Ciò era stato già comunicato tramite l'annuncio del blog di Airflow 3.2.0 [4].
[1] Modello di sicurezza: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[2] Isolamento del carico di lavoro: https://airflow.apache.org/docs/apache-airflow/stable/security/workload.html
[3] Autenticazione con token JWT: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[4] Annuncio del blog di Airflow 3.2.0: https://airflow.apache.org/blog/airflow-3.2.0/
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 3.2.0, che risolve questo problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.