CVE-2026-68969 in Airflow
要約
〜によって VulDB • 2026年08月12日
Apache Airflowは、バッチエンドポイント（`PATCH /api/v2/variables` および `PATCH /api/v2/connections`）を介して送信された際、Variableの値とConnectionの`extra`フィールドの内容をクリアテキストで監査ログに記録していました。監査ログのマスキング機能はリクエストのトップレベルのフィールドのみを対象としており、バッチリクエストではエンティティが2段階ネストされているため、これらにはマスキングが適用されませんでした。監査ログの読み取り権限を持つ認証済みユーザーであれば（VariablesやConnectionsに対する読み取り権限を必ずしも保持する必要はありません）、これらの機密情報をそのまま復元することが可能でした。また、Connection `extra` のコピーは接続テーブルで暗号化されている一方で、ログには平文のまま保存されます。Airflow UIの「変数のインポート」アクションはこのエンドポイントにPOSTを送信するため、通常のオペレーターによるファイルインポート時にファイル内のすべての機密情報がログに書き込まれていました。これはCVE-2026-50204とは異なるコードパスです：当該修正はバージョン3.3.0で提供され、単一エンティティエンドポイントのみをカバーしていたため、そのアドバイザリに応じてアップグレードしたデプロイメント環境はまだ影響を受けており、再度のアップグレードが必要です。ユーザーにはapache-airflow 3.3.1以降へのアップグレードが推奨されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.