🟡 CVE-2026-40861: Medium Luecke in Apache Airflow

Zusammenfassung

CVE-2026-40861 ist eine Sicherheitslücke mittlerer Schwere (CVSS 6.5) in Apache Airflow, die es DAG-Autoren ermöglicht, Dateien außerhalb des konfigurierten Basis-Log-Verzeichnisses zu lesen oder zu überschreiben. Die Schwachstelle betrifft nur Deployments, bei denen das Worker-Log-Verzeichnis mit dem API-Server geteilt wird.

Betroffene Systeme

Software: Apache Airflow (vor Version 3.2.2)

Komponente: FileTaskHandler

Betriebsumgebung: Deployments mit gemeinsamen Log-Verzeichnissen zwischen Worker und API-Server

Technische Details

Die Schwachstelle ermöglicht zwei Angriffsszenarien:

• Read-Path-Angriff: Ein DAG-Autor erstellt symbolische Links im Task-Log-Verzeichnis, die auf beliebige, vom API-Server lesbare Dateien verweisen (z.B. /etc/passwd oder airflow.cfg)
• Write-Path-Angriff: Ein manipulierter task_id mit ..-Sequenzen wird von der Task-SDK’s KEY_REGEX akzeptiert und ermöglicht das Überschreiben beliebiger Dateien

In beiden Fällen löst der FileTaskHandler den Log-Pfad außerhalb des konfigurierten base_log_folder auf, was zu Datenlecks oder Dateimanipulation führt.

Angriffsvektor: Netzwerk | Authentifizierung erforderlich: Ja (DAG-Autor-Zugang)

Empfohlene Massnahmen

1. Patch einspielen: Upgrade auf Apache Airflow 3.2.2 oder neuer
2. Defense-in-Depth: Worker und API-Server mit separaten Log-Volumes deployen, um Worker-kontrollierte Pfade vom API-Server-Dateisystem zu isolieren
3. Zugriffskontrolle: DAG-Autor-Berechtigungen einschränken und überwachen
4. Monitoring: Ungewöhnliche Dateizugriffe und Symlink-Erstellung in Log-Verzeichnissen protokollieren

Bewertung

CVSS-Score: 6.5 (Medium)

Verfügbarkeit: Patch vorhanden

Die Schwachstelle erfordert DAG-Autor-Zugang und ist auf spezifische Konfigurationen begrenzt. Das Implementieren von separaten Log-Volumes bietet zusätzliche Sicherheit auch ohne sofortiges Patching.