CVE-2026-68971 in Airflow
要約
〜によって VulDB • 2026年08月13日
Apache Airflowの資産マテリアライゼーションエンドポイント（`POST /api/v2/assets/{asset_id}/materialize`）および `wait_dag_run_until_finished` におけるXCom結果チェックは、他のすべての認可箇所とは異なり、チーム情報なしで対象DAGを承認していました。チーム情報を認識する認証マネージャーでは、そのフィールドによってチームスコープのDAGとグローバルなDAGが区別されます（例えばKeycloak認証マネージャーの場合、`DAG:` ではなく `DAG` リソースをチェックします）。そのため、リクエストを制限すべきチームスコープの権限は一度も参照されませんでした。チーム情報を認識する認証マネージャーを使用しマルチチームモードで実行されている環境では、あるチームに属する認証済みユーザーが別のチームに属するDAGの実行トリガーを送信でき（独自の `dag_run_id` と `conf` を指定可能）、さらに他のチームのXCom値を読み取ることができました。FAB認証マネージャーを使用しているデプロイメントは影響を受けません。これはマルチチームサポートがないためです。ユーザーには、両方の箇所においてDAGの所属チームを解決する apache-airflow 3.3.1以降へのアップグレードが推奨されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.