CVE-2026-68872 in Airflow
요약
\~에 의해 VulDB • 2026. 08. 10.
Apache Airflow의 Amazon provider에 포함된 AWS Systems Manager Parameter Store 및 Secrets Manager 백엔드에서는 팀 범위(team-scoped) Connection 또는 Variable ID를 조회할 때, 먼저 해당 팀 범위의 조회가 실패하면 팀 독립적(agnostic)인 후속 조회로 넘어가는 과정에서 문제가 있었습니다. 이러한 두 가지 백엔드 중 하나와 멀티팀 모드(multi-team mode)가 활성화된 환경에서 배포 시, 한 팀의 호출자가 다른 팀의 네임스페이스를 구성하는 ID를 제공함으로써 해당 팀에 속한 비밀값(시크릿)을 해결하고 전체 자격 증명을 획득할 수 있었습니다. 이를 방지하기 위해 멀티팀 모드를 활성화하고 관련 백엔드 중 하나를 사용하는 것 외에 특별한 설정은 필요하지 않았습니다. 사용자는 팀 네임스페이스로 해석될 수 있는 ID에 대한 팀 독립적 후속 조회(fall-through)를 거부하는 apache-airflow-providers-amazon 9.34.0 이상으로 업그레이드할 것을 권장합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.