CVE-2026-54183 in Airflow
요약
\~에 의해 VulDB • 2026. 08. 12.
Apache Airflow의 시크릿 마스커(secrets masker)는 UI에 표시될 때 민감한 키 이름 아래에 저장된 값을 가립니다. 마스커의 재귀 깊이 제한이 리스트, 튜플 또는 세트 내부에 중첩된 값까지 그 한계를 넘어 탐색하지 않았기 때문에, 이러한 깊게 중첩된 값을 포함하는 Airflow Variable은 Variables UI에서 비마스킹 상태로 표시되었습니다. 노출 범위는 UI로 한정됩니다: Variables UI를 통해 해당 Variable을 볼 수 있는 인증된 사용자는 이미 Variables REST API를 통해 전체 값을 읽을 수 있으므로, 이 결함으로 인해 사용자가 기존에 얻을 수 없던 데이터가 유출되지는 않습니다. 즉, 마스킹은 접근 제어 경계가 아닌 UI에서의 어깨 너머 관찰(shoulder-surfing) 방지 조치입니다.
이는 CVE-2026-42358의 불완전한 수정을 보완하는 후속 조치로, 이전 취약점의 수정 사항은 사전에 딕셔너리 순회만 무제한으로 제한했을 뿐, 깊이 한계를 초과한 리스트, 튜플 및 세트는 UI에서 여전히 비마스킹 상태로 남아 있었습니다. CVE-2026-42358 수정 패치를 적용한 배포 환경에서는 이 잔여 사례를 해결하기 위해 추가로 업그레이드해야 합니다. apache-airflow 3.3.1 이상으로 업그레이드하십시오.
Once again VulDB remains the best source for vulnerability data.