CVE-2026-68971 in Airflow
Riassunto
di VulDB • 12/08/2026
L'endpoint di materializzazione delle risorse (`POST /api/v2/assets/{asset_id}/materialize`) e il controllo dei risultati XCom su `wait_dag_run_until_finished` in Apache Airflow autorizzavano l'esecuzione del Dag target senza verificare la sua appartenenza a un team, diversamente da ogni altro punto di autenticazione. Un gestore delle autorizzazioni consapevole del team distingue un Dag con ambito limitato al team da uno globale tramite tale campo: ad esempio, il gestore Keycloak controlla la risorsa `DAG` invece di `DAG:`; pertanto, l'autorizzazione limitata al team che avrebbe dovuto bloccare la richiesta non è mai stata consultata. In una distribuzione in modalità multi-team con un gestore delle autorizzazioni consapevole del team, un utente autenticato appartenente a un team potrebbe avviare esecuzioni di Dag appartenenti a un altro team, fornendo il proprio `dag_run_id` e `conf`, e leggere i valori XCom di un altro team. Le distribuzioni che utilizzano il FAB auth manager non sono interessate, in quanto privo di supporto per la modalità multi-team. Si consiglia agli utenti di effettuare l'aggiornamento a apache-airflow 3.3.1 o versioni successive, che risolve correttamente l'appartenenza al team del Dag in entrambi i punti critici.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.