CVE-2026-68971 in Airflow
Сводка
по VulDB • 12.08.2026
Эндпоинт материализации активов Apache Airflow (`POST /api/v2/assets/{asset_id}/materialize`) и проверка результата XCom в `wait_dag_run_until_finished` авторизовывали целевой DAG без учета его команды, в отличие от всех остальных точек проверки прав. Менеджер аутентификации с учетом командной принадлежности (team-aware auth manager) различает DAG с ограничением по команде и глобальный DAG на основе этого поля — например, менеджер Keycloak проверяет ресурс `DAG`, а не `DAG:` — поэтому разрешение для конкретной команды, которое должно было блокировать запрос, никогда не учитывалось. В развертывании с поддержкой мультикомандного режима (multi-team mode) и менеджера аутентификации с учетом командной принадлежности авторизованный пользователь из одной команды мог запускать DAG-процессы другой команды, предоставляя свой собственный `dag_run_id` и `conf`, а также читать значения XCom других команд. Развертывания, использующие менеджер FAB auth manager, не затронуты, так как он не поддерживает мультикомандный режим. Пользователям рекомендуется обновиться до apache-airflow 3.3.1 или более поздней версии, которая корректно определяет команду DAG в обеих точках проверки.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.