🟡 CVE-2026-49296: Medium Luecke in Apache Airflow

„`html

Zusammenfassung

CVE-2026-49296 beschreibt eine Authentifizierungs- und Autorisierungsschwachstelle in Apache Airflow vor Version 3.3.0. Die Vulnerability ermöglicht es einem authentifizierten Benutzer, Zugriff auf den Quellcode von DAGs (Directed Acyclic Graphs) zu erlangen, für die ihm keine Leserechte gewährt wurden. Der Schweregrad wird mit CVSS 6.5 (Medium) bewertet.

Betroffene Systeme

Software: Apache Airflow vor Version 3.3.0

Angriffsvektor: Netzwerk (Network)

Voraussetzung: Der Angreifer benötigt gültigen Zugriff auf die Airflow-Instanz und Leserechte für mindestens eine DAG in einer gemeinsamen Quelldatei.

Technische Details

Die Schwachstelle liegt in der API-Endpunkt GET /api/v2/dagSources/{dag_id} sowie der entsprechenden Benutzeroberflächen-Funktionalität zur DAG-Quellanzeige. Beim Abruf des Quellcodes einer DAG wird die gesamte Quelldatei zurückgegeben, ohne dass nicht autorisierte DAGs aus derselben Datei redaktionell entfernt werden.

Das Problem manifestiert sich spezifisch bei Deployments, die mehrere DAGs in einer einzigen Python-Datei zusammenfassen. Der fehlende Redaktionsmechanismus ermöglicht, dass ein Benutzer mit Lesezugriff auf eine DAG automatisch die Quellcodes sämtlicher kolokalisierten DAGs einsehen kann, unabhängig von seinen individuellen Zugriffsrechten.

Deployments mit einer DAG pro Datei sind nicht betroffen, da kein unberechtigter Zugriff auf zusätzliche Code-Segmente möglich ist.

Empfohlene Massnahmen

• Sofortmassnahme: Upgrade auf Apache Airflow Version 3.3.0 oder später durchführen
• Architektur-Review: Bestehende Deployments überprüfen, ob mehrere DAGs in einzelnen Dateien koexistieren
• Zugriffskontrolle: DAG-Quelldatei-Zugriffe bis zur Aktualisierung einschränken
• Monitoring: Audit-Logs auf verdächtige API-Anfragen zu dagSources-Endpunkten überwachen

Bewertung

CVSS Score: 6.5 (Medium)

Patch verfügbar: Ja

Die Vulnerability stellt ein moderates Risiko dar, da sie Informationsoffenlegung ermöglicht, aber keine direkten Systemausfälle oder Datenmanipulation bewirkt. Dennoch sollte sie zeitnah behoben werden, besonders in Umgebungen mit sensiblen Workflow-Definitionen.

„`