🟡 CVE-2026-42360: Medium Luecke in Apache Airflow

„`html

Zusammenfassung

CVE-2026-42360 beschreibt eine Schwachstelle in Apache Airflow, bei der verschachtelte sensitive Schlüssel in JSON-Template-Strukturen nicht ordnungsgemäß maskiert werden. Die Vulnerability ermöglicht es authentifizierten Benutzern mit Lesezugriff auf Template-Felder, geheime Werte auszulesen, die eigentlich verschleiert sein sollten. Das Problem tritt auf, wenn gerierte Template-Felder eine konfigurierte Längenbeschränkung überschreiten.

Betroffene Systeme

Produkt: Apache Airflow
Versionen: Alle Versionen vor 3.2.2
Schweregrad: Medium (CVSS 6.5)
Komponente: Rendered-Template Field Handling

Technische Details

Die Vulnerability liegt in der Template-Redaktion-Logik. Wenn ein gerendetes Template-Feld die in der Konfiguration definierte maximale Länge `[core] max_templated_field_length` überschreitet, serialisiert Airflow die Datenstruktur zu einem String, bevor Redaktionsmechanismen angewendet werden. Dieser Prozess führt zum Verlust des verschachtelten Kontexts von sensitiven Schlüsseln wie `password`, `token`, `secret` oder `api_key`.

Infolgedessen werden die Plaintext-Werte ungeschützt in das `rendered_fields`-Feld persistiert. Ein authentifizierter Benutzer der Web-UI oder API kann diese Felder auslesen und sensible Informationen extrahieren. Dies ist besonders kritisch in Deployments, in denen DAG-Autoren strukturierte JSON-Daten mit verschachtelten Geheimnissen an Operatoren übergeben.

Diese Vulnerability ist eine Variante von CWE-200 und stellt eine unvollständige Behebung von CVE-2025-68438 dar. Das vorherige Patch adressierte benutzerdefinierte `mask_secret()`-Muster, nicht jedoch das eingebaute Allowlist-System für verschachtelte sensitive Schlüsselwörter.

Empfohlene Massnahmen

• Sofortige Aktualisierung: Apache Airflow auf Version 3.2.2 oder später aktualisieren
• Überprüfung: Audit durchführen für DAGs mit JSON-Template-Strukturen und sensitiven Daten
• Zugriffskontrolle: Lesezugriff auf `rendered_fields` einschränken
• Monitoring: Logs auf verdächtige Template-Field-Zugriffe überwachen

Bewertung

CVSS 6.5 (Medium): Erfordert Authentifizierung und spezifische Konfiguration, ermöglicht jedoch Information Disclosure. Besonders kritisch in Umgebungen mit umfangreichen JSON-Strukturen und stringenten Geheimnis-Management-Anforderungen.

„`