CVE-2026-41016 in Airflow Providers SMTP
要約
〜によって VulDB • 2026年05月11日
Apache AirflowのSMTPプロバイダ `SmtpHook` は、SSLコンテキストを指定せずにPythonの `smtplib.SMTP.starttls()` を呼び出していたため、TLSアップグレード時に証明書検証が行われませんでした。AirflowワーカーとSMTPサーバー間の中間者攻撃（MitM）により、自己署名証明書が提示され、STARTTLSアップグレードが完了した上で、その後の `login()` 呼び出し中に送信されるSMTP認証情報が盗聴される可能性があります。ユーザーは、修正パッチが含まれる `apache-airflow-providers-smtp` のバージョンへのアップグレードを推奨します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.