„`html

CVE-2026-42359: Apache Airflow XCom PATCH Endpoint Remote Code Execution

Zusammenfassung

Eine Sicherheitslücke im Apache Airflow XCom PATCH-Endpoint ermöglicht authentifizierten Benutzern mit XCom-Schreibrechten die Umgehung von Validierungsmechanismen. Durch die Kombination mit unsicherer Deserialisierung können Angreifer Remote Code Execution (RCE) auf dem Triggerer ausführen. Die Schwachstelle stellt eine Bypass-Variante der zuvor gepatchten CVE-2026-33858 dar.

Betroffene Systeme

• Produkt: Apache Airflow
• Angriffsvektor: Network (authentifiziert)
• Betroffene Versionen: Vor Apache Airflow 3.2.2
• Voraussetzung: Authentifizierung erforderlich; XCom-Schreibberechtigung auf DAGs mit Triggerer-Deferral

Technische Details

Der PATCH-Endpoint /api/v2/xcomEntries/{key} validiert eingehende XCom-Keys nicht gegen die FORBIDDEN_XCOM_KEYS-Liste. Dies steht im Gegensatz zum POST-Endpoint, der diese Validierung seit dem Patch für CVE-2026-33858 durchführt. Angreifer können daher:

• Reservierte XCom-Keys wie return_value über PATCH setzen
• Serialisierte Payload-Strukturen einfügen, die vom Deserialisierer als ausführbarer Code interpretiert werden
• RCE auf dem Triggerer erreichen, wenn die betroffene Task zum nächsten Mal aufgeschoben wird

Der Fehler resultiert aus inkonsistenter Validierung zwischen POST- und PATCH-Endpoints.

Empfohlene Massnahmen

• Sofort: Upgrade auf Apache Airflow 3.2.2 oder später durchführen
• Zugriffskontrolle überprüfen: XCom-Schreibrechte nur vertrauenswürdigen Benutzern gewähren
• DAG-Deferral-Mechanismen auditieren und einschränken
• Eingabevalidierung auf Applikationsebene verstärken

Bewertung

CVSS v3.1: 8.8 (High)

Kritikalität: Hoch – RCE mit authentifizierten Zugriffen möglich. Betroffen sind Umgebungen mit untrusted Usern und XCom-Schreibrechten.

„`