CVE-2026-34538 in Airflow
要約
〜によって VulDB • 2026年05月20日
Apache Airflowのバージョン3.0.0から3.1.8において、DagRunの待機エンドポイントが、ViewerロールのようにDAGの実行に関する読み取り権限のみを持つユーザーに対しても、XComの結果値を返すという脆弱性があります。この動作は、XComを別の保護対象リソースとして扱うFAB RBACモデル、およびViewerロールを読み取り専用として定義するセキュリティモデルのドキュメントと矛盾しています。
Airflowは、リソースごとのアクセス制御を管理するためにFAB Auth Managerを使用しています。Viewerロールはデフォルトで読み取り専用であることが意図されており、セキュリティモデルのドキュメントでは、Viewerユーザーを機密性の高い実行結果にアクセスせずにDAGを検査できるユーザーとして定義しています。
この問題を解決するため、Apache Airflow 3.2.0へのアップグレードを推奨します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.