„`html
Zusammenfassung
CVE-2026-49298 beschreibt eine kritische Sicherheitslücke in Apache Airflows KubernetesExecutor. JWT-Tokens, die von Worker-Pods zur Authentifizierung gegen die Execution API verwendet werden, werden als Kommandozeilenargumente in der Pod-Spezifikation sichtbar gemacht. Dies ermöglicht es authentifizierten Benutzern mit Kubernetes Read-Only-Zugriff, diese Tokens abzufangen und damit Zugriff auf kritische API-Funktionen zu erlangen.
Betroffene Systeme
Produkt: Apache Airflow
Komponente: KubernetesExecutor
Betroffene Versionen: Alle Versionen vor 3.2.2
Voraussetzungen: Deployment mit aktiviertem KubernetesExecutor und Kubernetes-Zugriff für den Angreifer erforderlich
Technische Details
Die Schwachstelle liegt in der Übergabe von JWT-Authentifizierungstokens als Kommandozeilenargumente an Worker-Container. Diese sind in der Pod-Spezifikation sichtbar und können durch den Befehl kubectl describe pod ausgelesen werden. Ein authentifizierter Angreifer mit minimalen Kubernetes-Berechtigungen (pods/get im Airflow-Namespace) kann diese Tokens harvesten.
Mit den gestohlenen Tokens ist es möglich, zustandsändernde API-Endpunkte aufzurufen, einschließlich:
- DAG-Runs auslösen
- Runs löschen
- Variables, Connections und XComs lesen/schreiben
Die Attacke erfolgt über den Netzwerk-Vektor und setzt auf die Execution API ab. Diese Lücke ist komplementär zu CVE-2026-27173, das die Provider-Seite adressiert.
Empfohlene Massnahmen
Priorität: Hoch
- Upgrade auf Apache Airflow 3.2.2 oder später durchführen
- Falls vorhanden: apache-airflow-providers-cncf-kubernetes auf Version 10.17.0+ aktualisieren
- Kubernetes RBAC-Richtlinien überprüfen und restriktivere Zugriffskontrolle implementieren
- Pod-Beschreibungen in Logs überprüfen auf offenbarte Tokens
Bewertung
CVSS-Score: 8.8 (High)
Schweregrad: High
Patch verfügbar: Ja
Diese Sicherheitslücke erfordert eine zeitnahe Behebung in produktiven Umgebungen.
„`