Apache Airflow: example_xcom DAGにおける競合状態によるRCE

この脆弱性は、Apache Airflow の UI ユーザーが XCom を変更できる権限を持っている場合に悪用される可能性があります。攻撃者は、XCom に悪意のあるコードを挿入し、Airflow ワーカー上でそのコードを実行させることができます。これにより、機密情報の窃取、システムの改ざん、さらにはシステム全体の制御権の奪取といった深刻な被害が発生する可能性があります。特に、Airflow の UI ユーザーが広範な権限を持つ環境では、攻撃の影響範囲が広がる可能性があります。この脆弱性は、Airflow のドキュメント例をそのまま利用している環境で特にリスクが高まります。

Organizations that have deployed Apache Airflow and are using or have previously used the example_xcom example in their custom DAGs are at risk. This includes teams that have copied and pasted code snippets from the Airflow documentation without proper security review. Shared hosting environments where multiple users have access to the Airflow UI are also particularly vulnerable.

• python / airflow: Inspect custom DAGs for instances of insecure XCom value reading patterns. Look for code that directly reads XCom values without proper sanitization or validation.

# Example of potentially vulnerable code
xcom_value = task_instance.xcom_pull(task_ids='upstream_task', key='my_key')
# ... use xcom_value without validation

• python / airflow: Review Airflow worker logs for any unusual code execution or errors related to XCom processing. • python / airflow: Check Airflow UI user permissions to ensure that only authorized users have the ability to modify XComs.

1. 2026-04-15Disclosure

   disclosure

1. 予約済み2025-07-24
2. 公開日2026-04-15
3. 更新日2026-04-19
4. EPSS 更新日2026-04-22

この脆弱性への主な対策は、Apache Airflow をバージョン 3.2.0 以降にアップグレードすることです。アップグレードが困難な場合は、example_xcom のコードを修正し、XCom からの値を安全に読み取るようにする必要があります。また、UI ユーザーの権限を最小限に抑え、XCom へのアクセスを厳密に制御することも有効です。Web Application Firewall (WAF) を導入し、悪意のあるコードの実行を試みるリクエストをブロックすることも検討できます。Airflow のドキュメント例を本番環境で使用しないように徹底することも重要です。