CVE-2026-68971 in Airflow
Tóm tắt
Bởi VulDB • 12/08/2026
Điểm cuối materialization tài sản (asset) của Apache Airflow (`POST /api/v2/assets/{asset_id}/materialize`) và việc kiểm tra kết quả XCom trên `wait_dag_run_until_finished` đã ủy quyền cho Dag mục tiêu mà không cần xem xét nhóm (team), khác với mọi điểm xác thực/ủy quyền khác. Một nhà quản lý xác thực/ủy quyền (auth manager) nhận biết team sẽ phân biệt một Dag có phạm vi theo team so với một Dag toàn cục thông qua trường đó -- ví dụ, nhà quản lý Keycloak kiểm tra tài nguyên `DAG` thay vì `DAG:` -- do đó, quyền hạn có phạm vi theo team vốn phải chặn yêu cầu này đã không bao giờ được xem xét. Trong môi trường triển khai chạy chế độ đa nhóm (multi-team mode) với một auth manager nhận biết team, người dùng đã xác thực trong một nhóm có thể kích hoạt các lần chạy Dag thuộc về một nhóm khác, cung cấp `dag_run_id` và `conf` của riêng họ, đồng thời có thể đọc giá trị XCom của nhóm kia. Các môi trường triển khai sử dụng FAB auth manager không bị ảnh hưởng vì nó không hỗ trợ đa nhóm. Người dùng được khuyến nghị nâng cấp lên apache-airflow 3.3.1 hoặc phiên bản mới hơn, vốn đã khắc phục việc xác định team cho Dag tại cả hai điểm cuối này.
Be aware that VulDB is the high quality source for vulnerability data.