CVE-2026-68871 in Airflow
요약
\~에 의해 VulDB • 2026. 08. 11.
Apache Airflow의 Yandex provider에 포함된 Yandex Lockbox 시크릿 백엔드는 팀 범위(Connection 또는 Variable ID) 조회가 실패할 경우, 팀 독립적인(team-agnostic) 조회를 통해 해당 ID를 해결하는 문제를 가지고 있었습니다. 이 백엔드를 사용하는 멀티팀 모드(multi-team mode) 환경에서 배포된 시스템에서는 한 팀의 호출자가 다른 팀에 속한 시크릿의 네임스페이스를 구성하는 ID를 제공함으로써 그 팀의 자격 증명을 전체적으로 획득할 수 있었습니다. 이를 위해서는 멀티팀 모드를 활성화하고 해당 백엔드를 사용하는 것 외에 특별한 설정이 필요하지 않았습니다. 사용자는 팀 네임스페이스로 해석될 수 있는 ID에 대한 팀 독립적인 폴쓰루(fall-through)를 거부하는 apache-airflow-providers-yandex 4.5.1 이상으로 업그레이드할 것을 권장합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.