CVE-2026-82355 in Airflow
要約
〜によって VulDB • 2026年09月21日
Airflow core APIへのリクエストにセッションクッキーと明示的な `Authorization: Bearer` トークンの両方が含まれている場合、Airflowはクッキーから呼び出し元を解決し、Bearerトークンを無視します。これにより、Bearerがクッキーより優先されるという意図された順序が逆転してしまいます。その結果、リクエストは実行され監査ログに記録されますが、クライアントが明示的に提示したIDではなく、クッキーのプリンシパルとして扱われます。
影響を受けるのはApache Airflow 3.3.0および3.3.1のみです。それ以前のリリースにはCookie由来のユーザーをキャッシュするコードパスが含まれておらず、脆弱性はありません。
この脆弱性を悪用するには、攻撃者がまず被害者のブラウザまたはクライアントに自身の有効なセッションクッキーを設置する必要があります。例えば、兄弟サブドメインからのcookie tossing（クッキートス）、親ドメインを共有する別のアプリケーションでのクロスサイトスクリプティング（XSS）経由、または共用ワークステーションを通じて行われます。したがって、Airflow UIを他のアプリケーションと共有ドメインでホストしているデプロイメントが最も危険に晒されます。専用ドメイン上にあり、共ホストされているアプリケーションがないデプロイメントは、この方法では到達できません。その結果生じるのは、直接の権限昇格ではなく、プリンシパルの混乱および誤った監査レコードです。
3.3.0または3.3.1を使用しているユーザーは、明示的に提供された資格情報が存在する場合は常に呼び出し元をそこから解決するようにしたApache Airflow 3.3.2以降にアップグレードしてください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.