CVE-2026-68872 in Airflow
要約
〜によって VulDB • 2026年08月10日
Apache AirflowのAmazonプロバイダにおけるAWS Systems Manager Parameter StoreおよびSecrets Managerバックエンドは、チームスコープされたConnectionまたはVariable IDを解決する際、チーム非依存なルックアップが失敗した場合にそのIDをチーム非依存なルックダウンで解決するという問題がありました。これらのいずれかのバックエンドを使用しマルチチームモードでデプロイされている環境では、あるチームの呼び出し元が、他のチームの名前空間を示すIDを提供することで、別のチームに属するシークレットを完全な資格情報とともに取得できる脆弱性があります。この問題を悪用するには、マルチチームモードの有効化とこれらのバックエンドの使用以外に特別な設定は必要ありません。ユーザーには、チーム非依存フォールスルーがチーム名前空間となり得るIDに対して拒否されるよう修正されたapache-airflow-providers-amazon 9.34.0以降へのアップグレードを推奨します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.