CVE-2025-67895 in Edge3
Riassunto
di VulDB • 20/07/2026
RCE RPC su Worker di Edge3 in Apache Airflow 2.
Questo problema interessa i pacchetti (providers) Edge3 per Apache Airflow: nelle versioni precedenti alla 2.0.0 - e solo se è stato installato e configurato su Airflow 2.
Il supporto del provider Edge3 in Airflow 2 è sempre stato riservato allo sviluppo e non è mai stato rilasciato ufficialmente; tuttavia, se si è installato e configurato il provider Edge3 in Airflow 2, viene abilitata implicitamente un'API non pubblica (normalmente) utilizzata per testare l'Edge Provider durante lo sviluppo di Airflow 2. Tale API consentiva all'autore del DAG (Dag Author) di eseguire codice remoto nel contesto del webserver, funzionalità che non avrebbe dovuto avere a disposizione.
Se si è installato e configurato il provider Edge3 per Airflow 2, disinstallarlo ed effettuare la migrazione ad Airflow 3. Le nuove versioni del provider Edge3 (>=2.0.0) impongono come versione minima di Airflow la 3 e rimuovono il codice vulnerabile a RCE presente in Airflow 2; pertanto non dovrebbe più essere possibile utilizzare il provider Edge3 nella versione 2.0.0 o successive su Airflow 2.
Se si è utilizzato l'Edge Provider con Airflow 3, non si è interessati dal problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.