🔴 CVE-2026-33264: Critical Luecke in Apache Airflow

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-33264 ist eine kritische Remote-Code-Execution-Lücke (CVSS 9.8) in Apache Airflow. Ein fehlerhaftes Deserialisierungsverfahren in der BaseSerialization.deserialize()-Methode ermöglicht es DAG-Autoren, beliebige Python-Klassen über manipulierte Serialisierungsdaten zu laden und auszuführen. Dies erlaubt die Überwindung der Airflow-Sicherheitsgrenze und die Codeausführung im Kontext des Schedulers oder API-Servers.

Betroffene Systeme

Produkt: Apache Airflow
Betroffene Versionen: Alle Versionen vor 3.3.0
Angriffsvektor: Netzwerk (über DAG-Serialisierung)
Angriffstyp: Remote Code Execution (RCE)

Technische Details

Die Schwachstelle liegt in der unsicheren Deserialisierung von DAG-Objekten. Die Funktion import_string() wird ohne angemessene Validierung aufgerufen, wenn der Scheduler oder API-Server serialisierte DAGs laden. Ein Angreifer mit DAG-Autor-Rechten kann bösartige Trigger-Objekte in eine DAG einbetten.

Beim Deserialisieren werden diese Trigger-Objekte mit der import_string()-Funktion verarbeitet, die beliebige importierbare Klassen laden kann. Dies führt zur direkten Codeausführung in den privilegierten Scheduler- oder API-Server-Prozessen, nicht in der isolierten DAG-Worker-Umgebung.

Die Lücke bricht die zentrale Airflow-Sicherheitsannahme, dass DAG-Autoren-Code nur in Worker-Prozessen ausgeführt wird und niemals in Kontrollprozessen.

Empfohlene Massnahmen

1. Sofortiges Update: Upgraden Sie auf Apache Airflow 3.3.0 oder später
2. Konfigurationsschutz: Implementieren Sie ein Allowlist-Verfahren via [core] allowed_deserialization_classes Config-Parameter
3. Zugriffskontrolle: Beschränken Sie DAG-Autoren-Berechtigungen auf vertrauenswürdige Benutzer
4. Monitoring: Überwachen Sie Scheduler- und API-Server-Prozesse auf verdächtige Aktivitäten
5. Netzwerk-Isolation: Implementieren Sie zusätzliche Netzwerk-Segmentierung

Bewertung

CVSS-Score: 9.8 (Critical)
Risiko: Kritisch – Vollständige Systemkompromittierung möglich
Patch verfügbar: Ja

Diese Sicherheitslücke erfordert sofortige Maßnahmen und ist ein Patch-Priority-1-Fall für alle Airflow-Deployments.

„`