„`html
Zusammenfassung
CVE-2026-49487 beschreibt eine Sicherheitslücke in Apache Airflow vor Version 3.3.0, bei der sensitive Daten in REST API-Endpunkten unverschlüsselt offengelegt werden. Die Schwachstelle ermöglicht es authentifizierten Benutzern, geheime Zugangsdaten aus aufgeschobenen Tasks auszulesen.
Betroffene Systeme
Die Sicherheitslücke betrifft folgende Versionen:
- Apache Airflow Versionen vor 3.3.0
- Alle Distributionen und Installationsmethoden
Systeme mit Apache Airflow 3.3.0 oder höher sind nicht betroffen.
Technische Details
Die Verwundbarkeit liegt in den REST API-Endpunkten für Task-Instance-Details und Listen. Wenn ein deferred Operator geheime Werte (beispielsweise Provider API-Keys) an seinen Trigger übergibt, werden diese Trigger-Parameter ohne Maskierung zurückgegeben.
Das Problem entsteht, weil das System sensitive Daten in den Trigger kwargs nicht automatisch maskiert. Ein authentifizierter Benutzer mit DAG-scoped task-instance Lesezugriff kann diese Informationen im Klartext auslesen, solange der Task im deferred-Status verweilt.
Angriffsszenario: Ein Angreifer mit Zugriff auf die Airflow-API könnte auf diese Endpunkte zugreifen und sensitive Konfigurationsdaten wie Cloud-API-Schlüssel, Datenbankpasswörter oder andere Secrets extrahieren, die in den Trigger-Parametern gespeichert sind.
Empfohlene Massnahmen
- Sofortige Aktion: Upgrade auf Apache Airflow 3.3.0 oder später durchführen
- Zugriffskontrolle: DAG-scoped task-instance Lesezugriffe überprüfen und minimieren
- Monitoring: API-Zugriffe auf Task-Instance-Endpunkte protokollieren und überwachen
- Secrets-Management: Verwendete Secrets überprüfen und bei Bedarf rotieren
- Netzwerksegmentierung: REST API-Zugriffe einschränken
Bewertung
CVSS Score: 6.5 (Medium)
Die Schwachstelle erfordert Authentifizierung und spezifische Berechtigungen, was das Risiko reduziert. Allerdings ist der Zugriff auf sensitive Daten direkt möglich, weshalb ein Upgrade dringend empfohlen wird.
„`