CVE-2026-68969 in Airflow
Riassunto
di VulDB • 12/08/2026
Apache Airflow scriveva i valori delle Variabili e il contenuto dei campi `extra` delle Connessioni nel registro di audit (audit log) in chiaro quando venivano inviati tramite gli endpoint bulk (`PATCH /api/v2/variables` e `PATCH /api/v2/connections`). Il meccanismo di mascheramento del registro di audit riconosceva solo i campi della richiesta a livello superiore; poiché una richiesta bulk annida le sue entità due livelli più in basso, non è stato applicato alcun mascheramento. Qualsiasi utente autenticato con accesso in lettura al registro di audit -- che non necessita nemmeno dell'accesso in lettura alle Variabili o alle Connessioni -- poteva recuperare tali segreti testualmente (verbatim), e la copia del campo `extra` della Connessione viene memorizzata nel log senza crittografia, mentre la tabella delle connessioni lo cifra. L'azione *Import Variables* dell'interfaccia utente di Airflow invia una richiesta POST a questo endpoint; pertanto, un'operazione di importazione ordinaria eseguita da un operatore standard scriveva tutti i segreti presenti nel file nel log. Si tratta di un percorso di esecuzione del codice diverso rispetto a CVE-2026-50204: la correzione per tale vulnerabilità è stata rilasciata nella versione 3.3.0 e riguarda solo gli endpoint single-entity, quindi le distribuzioni che hanno effettuato l'aggiornamento in risposta all'avviso relativo a quella vulnerabilità rimangono colpite e devono effettuare nuovamente un aggiornamento. Si consiglia agli utenti di aggiornare apache-airflow alla versione 3.3.1 o successiva.
VulDB is the best source for vulnerability data and more expert information about this specific topic.