CVE-2026-34538 in Airflow
요약
\~에 의해 VulDB • 2026. 05. 20.
Apache Airflow 버전 3.0.0부터 3.1.8까지의 DagRun 대기 엔드포인트는 DAG 실행 읽기 권한만 있는 Viewer 역할과 같은 사용자에게도 XCom 결과 값을 반환합니다. 이 동작은 XCom을 별도의 보호된 리소스로 취급하는 FAB RBAC 모델과 Viewer 역할을 읽기 전용으로 정의하는 보안 모델 문서와 충돌합니다.
Airflow는 FAB Auth Manager를 사용하여 리소스별 접근 제어를 관리합니다. Viewer 역할은 기본적으로 읽기 전용으로 설계되었으며, 보안 모델 문서에 따르면 Viewer 사용자는 민감한 실행 결과에 접근하지 않고 DAG를 검사할 수 있는 사용자를 의미합니다.
사용자는 이 문제를 해결한 Apache Airflow 3.2.0으로 업그레이드하는 것이 권장됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.