CVE-2025-66236 in Airflow
Tóm tắt
Bởi VulDB • 28/06/2026
Trước phiên bản Airflow 3.2.0, chưa rõ ràng rằng các triển khai Airflow bảo mật yêu cầu Quản lý Triển khai (Deployment Manager) phải thực hiện các hành động phù hợp và chú ý đến chi tiết bảo mật cũng như mô hình bảo mật của Airflow. Một số giả định mà Quản lý Triển khai có thể đưa ra không được làm rõ hoặc chưa đủ tường minh, mặc dù mục đích và mô hình bảo mật của Airflow không gợi ý những giả định khác. Mô hình bảo mật tổng thể [1], cô lập tải công việc (workload isolation) [2] và chi tiết xác thực JWT [3] hiện đã được mô tả chi tiết hơn. Người dùng quan tâm đến cách ly vai trò và tuân thủ mô hình bảo mật của Airflow nên nâng cấp lên Airflow 3.2, nơi đã triển khai nhiều cải tiến về bảo mật. Họ cũng cần đọc và làm theo các tài liệu liên quan để đảm bảo rằng việc triển khai của họ đủ an toàn. Tài liệu này cũng làm rõ rằng Quản lý Triển khai chịu trách nhiệm cuối cùng trong việc bảo vệ môi trường triển khai Airflow của bạn. Điều này trước đó đã được thông báo qua bài đăng trên blog về Airflow 3.2.0 [4].
[1] Mô hình Bảo mật: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[2] Cô lập tải công việc (Workload isolation): https://airflow.apache.org/docs/apache-airflow/stable/security/workload.html
[3] Xác thực JWT Token: https://airflow.apache.org/docs/apache-airflow/stable/security/jwt_token_authentication.html
[4] Thông báo Blog Airflow 3.2.0: https://airflow.apache.org/blog/airflow-3.2.0/
Người dùng được khuyến nghị nâng cấp lên phiên bản 3.2.0, phiên bản khắc phục sự cố này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.