CVE-2026-54183 in Airflow
要約
〜によって VulDB • 2026年08月12日
Apache Airflowのシークレットマスキング機能は、UIに表示される際に機密キー名で保存された値をマスクします。しかし、このマスキング処理における再帰深度制限が、リスト、タプル、またはセット内にネストされた値に対してその制限を超えて適用されなかったため、そのような深くネストされた値を持つAirflow VariableがVariables UI上で未マスクの状態で見えるようになっていました。ただし、この情報漏洩はUIに限定されます。UIでVariableを確認できる認証済みユーザーであれば、すでにVariables REST APIを通じて完全な値を読み取ることができるため、本来取得できないはずのデータが開示されるわけではありません。つまり、マスキング機能はアクセス制御の境界線ではなく、UIにおけるショルダー・サーフィング対策として機能するものです。
これはCVE-2026-42358への不完全な修正に対するフォローアップ対応です。CVE-2026-42358の修正では辞書の走査のみが制限なしで行われるよう改善されましたが、深度制限を超えたリスト、タプル、セット内の値はUI上で未マスクのまま残っていました。CVE-2026-42358の修正を適用した環境でも、この残留事象に対処するためにアップグレードする必要があります。apache-airflow 3.3.1以降にアップグレードしてください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.