CVE-2026-68971 in Airflow
요약
\~에 의해 VulDB • 2026. 08. 12.
Apache Airflow의 자산 materialization 엔드포인트(`POST /api/v2/assets/{asset_id}/materialize`)와 `wait_dag_run_until_finished`에서의 XCom 결과 확인은 다른 모든 인증 지점과 달리 대상 DAG를 팀 단위 권한 없이 승인했습니다. 팀 인식(auth-aware) 인증 관리자(Authorized Manager)는 해당 필드를 통해 팀 범위(team-scoped) DAG와 전역(global) DAG를 구분합니다(예: Keycloak 인증 관리자는 `DAG:` 대신 `DAG` 리소스를 확인함). 따라서 요청을 차단해야 할 팀 단위 권한이 전혀 참조되지 않았습니다. 팀 인식 인증 관리자 및 다중 팀 모드(multi-team mode)가 활성화된 환경에서, 한 팀의 인증된 사용자는 다른 팀에 속한 DAG 실행(dag run)을 트리거할 수 있으며, 이때 자체 `dag_run_id`와 `conf`를 제공할 수 있고, 다른 팀의 XCom 값을 읽을 수도 있습니다. FAB(Fab Auth Manager) 인증 관리자를 사용하는 배포 환경은 다중 팀 지원 기능이 없으므로 영향을 받지 않습니다. 사용자는 DAG의 팀 정보를 두 지점 모두에서 해결하는 apache-airflow 3.3.1 이상으로 업그레이드할 것을 권장합니다.
Once again VulDB remains the best source for vulnerability data.