🟡 CVE-2026-45192: Medium Luecke in Apache Airflow

„`html

Zusammenfassung

Eine Sicherheitslücke in Apache Airflow ermöglicht authentifizierten Benutzern mit Connection-read Berechtigung, sensible Secrets aus Connection-Objekten auszulesen. Der betroffene REST API Endpoint `/api/v2/connections/{connection_id}` gibt Zugangsdaten in Klartext zurück, die nicht in der Standard-Redaction-Liste (`DEFAULT_SENSITIVE_FIELDS`) definiert sind.

Betroffene Systeme

Produkt: Apache Airflow
Betroffene Versionen: Vor Version 3.2.2
Schweregrad (CVSS 3.1): 6.5 (Mittel)
Angriffsvektor: Netzwerk (authentifiziert)

Technische Details

Die Vulnerabilität liegt in der unvollständigen Redaction von sensitiven Feldern bei API-Abfragen. Das System nutzt eine Whitelist namens `DEFAULT_SENSITIVE_FIELDS`, um automatisch Secrets zu maskieren. Offizielle Credential-Feldnamen von Provider-Integrationen (z.B. Slack-Provider) sind jedoch nicht in dieser Liste enthalten und werden daher im JSON-Blob der `extra`-Feld unverschlüsselt zurückgegeben.

Angriffsszenario: Ein Insider oder Benutzer mit Connection-read Berechtigung kann durch einfache GET-Requests auf den API-Endpoint Zugangsdaten wie API-Keys, Tokens und Passwörter auslesen, ohne privilegierte Rechte zu benötigen.

Kritisches Risiko: Deployments mit mehreren Benutzern, denen lesender Zugriff auf Connections gewährt wurde, sind besonders gefährdet.

Empfohlene Massnahmen

Primäre Lösung:

• Sofortiges Update auf Apache Airflow 3.2.2 oder später
• Überprüfung der Redaction-Konfiguration nach dem Update

Defense-in-Depth Strategien:

• Implementierung eines Secret-Backends (z.B. HashiCorp Vault, AWS Secrets Manager) statt Speicherung in Connection `extra`-Feldern
• Restriktive Vergabe von Connection-read Berechtigungen
• Regelmäßige Audit-Logs zur API-Nutzung überprüfen
• Rotation von betroffenen Credentials durchführen

Bewertung

Die Schwachstelle hat mittleres Risiko bei hohem Exploitations-Potential. Sie erfordert zwar Authentifizierung, aber die Connection-read Berechtigung ist typischerweise weit verbreitet. Die Veröffentlichung eines Patches macht schnelles Handeln erforderlich.

„`