Apache Airflowにおける重要な機能の認証不備

この脆弱性を悪用されると、攻撃者はAirflow環境内のDAG（Directed Acyclic Graph）で使用される変数を自由に設定・変更することが可能になります。これにより、機密情報の漏洩、システムのDoS攻撃、さらにはリモートコード実行といった深刻な被害が発生する可能性があります。例えば、攻撃者は悪意のあるコードを含む変数を設定し、DAGの実行時にそのコードを実行させることが考えられます。Airflow環境の機密データ（APIキー、データベースパスワードなど）が漏洩するリスクも高まります。この脆弱性は、Airflowの運用を完全に掌握される可能性を秘めており、その影響範囲は非常に広範です。

Organizations heavily reliant on Apache Airflow for orchestrating complex workflows are at significant risk. Specifically, deployments with publicly accessible Airflow instances or those lacking robust network segmentation are particularly vulnerable. Airflow installations using older versions (prior to 2.1.3) and those with limited security monitoring are also at heightened risk.

• python / airflow:

import requests
import json

url = "http://<airflow_host>/api/v1/variables/import"
headers = {'Content-Type': 'application/json'}
data = {'key': 'test_variable', 'value': 'malicious_code'}

try:
    response = requests.post(url, headers=headers, data=json.dumps(data))
    print(f"Response Status Code: {response.status_code}")
    print(f"Response Content: {response.content}")
except requests.exceptions.RequestException as e:
    print(f"Error: {e}")

• linux / server: Monitor Airflow logs for unusual variable import activity or errors related to variable manipulation. Use journalctl -u airflow to filter for relevant log entries. • generic web: Check Airflow server access logs for requests to /api/v1/variables/import originating from unexpected IP addresses or user agents.

1. 2022-05-24Disclosure

   disclosure

2. 2022-05-24Patch

   patch

1. 予約済み2021-08-11
2. 公開日2022-05-24
3. 更新日2024-09-11
4. EPSS 更新日2026-04-02

この脆弱性への対応として、まずApache Airflowをバージョン2.1.3にアップデートすることを強く推奨します。アップデートが困難な場合は、変数インポートエンドポイントへのアクセスを制限するWAF（Web Application Firewall）ルールやプロキシ設定を実装することで、一時的な緩和策を講じることができます。また、Airflowの変数管理に関するアクセス制御を強化し、不要な変数の作成や変更を制限することも有効です。Airflowのログを監視し、不正な変数操作の兆候を早期に検知することも重要です。アップデート後、Airflowのバージョンを確認し、脆弱性が修正されていることを確認してください。