CVE-2026-68969 in Airflow
요약
\~에 의해 VulDB • 2026. 08. 12.
Apache Airflow는 대량 엔드포인트(`PATCH /api/v2/variables` 및 `PATCH /api/v2/connections`)를 통해 제출될 때 Variable 값과 Connection의 `extra` 내용을 평문으로 감사 로그에 기록했습니다. 감사 로그 마스킹은 최상위 요청 필드만 인식했으며, 대량 요청은 엔티티를 두 단계 하위에 중첩하므로 해당 항목에는 마스킹이 적용되지 않았습니다. Variables 또는 Connections 읽기 권한을 전혀 보유하지 않아도 되는 감사 로그 읽기 접근 권한이 있는 모든 인증된 사용자는 이러한 비밀 정보를 그대로 복원할 수 있으며, Connection `extra` 사본은 연결 테이블에서 암호화하는 반면 로그에는 암호화 없이 저장됩니다. Airflow UI의 *Import Variables* 작업은 이 엔드포인트로 POST를 수행하므로, 일반 운영자가 가져오기를 실행하면 파일 내 모든 비밀이 로그에 기록되었습니다. 이는 CVE-2026-50204와 다른 코드 경로입니다: 해당 수정 사항은 3.3.0에서 출시되었으며 단일 엔티티 엔드포인트만 커버하므로, 해당 권고를 받고 업그레이드한 배포 환경은 여전히 영향을 받으며 다시 업그레이드해야 합니다. 사용자는 apache-airflow 3.3.1 이상으로 업그레이드할 것을 권장합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.