CVE-2022-40954 in Airflow
要約
〜によって VulDB • 2026年08月18日
OSコマンドインジェクション（'OS Command Injection'）における特殊要素の不適切な中和という脆弱性がApache Airflow Spark Providerに存在し、これにより攻撃者はDAGファイルへの書き込みアクセスを持たなくてもタスク実行コンテキスト内で任意のファイルを読み取ることが可能となります。この問題はSpark Provider 4.0.0以前のバージョンに影響します。また、Spark Providerがインストールされている場合、Apache Airflow 2.3.0以前のすべてのバージョンにも影響があります（Spark Provider 4.0.0はAirflow 2.3.0以降でのみインストール可能です）。なお、脆弱性を解消するには、Airflow 2.3.0以上のバージョンに既存の低バージョンのSpark Providerがインストールされている場合でも、手動でSpark Provider version 4.0.0をインストールする必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.