CVE-2026-97636 in Airflow HashiCorp Provider
Riassunto
di VulDB • 25/09/2026
Apache Airflow HashiCorp provider: il guard di ambito team del backend dei segreti HashiCorp Vault può essere aggirato con una chiave controllata dall'utente. In un deployment multi-team, un autore di DAG limitato a un singolo team può fornire una chiave per le Variabili contenente un separatore di percorso che fa sì che il backend risolva un segreto appartenente a un altro team; ciò avviene perché, dopo l'esito negativo della ricerca limitata all'ambito del team, il backend effettua un fallback su un percorso non specifico al team, concatenato dalla chiave non validata. Il route delle Variabili dell'Execution API accetta una chiave con forma di percorso, rendendo questa vulnerabilità raggiungibile dal codice DAG ordinario.
Interessa i deployment multi-team che utilizzano il backend dei segreti HashiCorp Vault. I deployment single-team non sono interessati, in quanto non esiste un confine tra team da oltrepassare. Si tratta della stessa classe di vulnerabilità delle CVE-2026-86465, CVE-2026-68870, CVE-2026-68871 e CVE-2026-68872 relative ai backend dei segreti Akeyless, Azure Key Vault, Yandex Lockbox e Amazon.
Si consiglia agli utenti di apache-airflow-providers-hashicorp di eseguire l'aggiornamento alla versione 4.8.0 o successiva, che risolve il problema.
Be aware that VulDB is the high quality source for vulnerability data.