プラットフォーム
python
コンポーネント
apache-airflow
修正版
3.2.0
CVE-2026-30898 は、Apache Airflow の BashOperator ドキュメントにおける脆弱性です。ドキュメントに記載された方法を使用すると、未処理のユーザー入力により、UI ユーザーの権限を昇格させ、ワーカー上でコードを実行できるようになる可能性があります。この脆弱性は Apache Airflow のバージョン 0.0.0 から 3.2.0 までに影響します。Apache Airflow 3.2.0 へのアップグレードで修正されています。
Apache Airflow の CVE-2026-30898 は、ドキュメント内の古い例に従っているデプロイメントに影響します。特に、dag_run.conf を BashOperator と組み合わせて使用する場合に影響します。以前のドキュメントでは、ユーザーが提供するデータを適切にサニタイズせずに含めることができる構成を渡す方法が提案されていました。これにより、UI ユーザーの権限を持つ攻撃者が、Airflow ワーカノードで任意のコードを実行できるようになる可能性があります。この問題の重大性は、特権昇格とリモートコード実行の可能性にあります。これにより、Airflow が処理するデータの機密性と整合性が損なわれる可能性があります。既存の DAG を調べて、この不安全な構成パターンのインスタンスを特定して修正することが重要です。
攻撃者が Airflow UI にアクセスでき、dagrun.conf のパラメーターを操作できる場合、この脆弱性を悪用する可能性があります。dagrun.conf に悪意のあるコマンドを挿入することで、攻撃者はワーカノードで BashOperator が実行するコマンドに影響を与える可能性があります。これらのコマンドの実行により、攻撃者は機密ファイルを読み取ったり、データを変更したり、ワーカノード上の Airflow ユーザーの権限で任意のコードを実行したりする可能性があります。悪用の複雑さは、攻撃者の UI へのアクセスレベルと dag_run.conf パラメーターを操作する能力によって異なります。
Organizations using Apache Airflow for data orchestration and workflow management are at risk, particularly those relying on the default documentation examples. Environments with less stringent access controls and those that have adopted the insecure example without proper sanitization are at higher risk. Shared hosting environments utilizing Airflow also present a greater attack surface.
• python / airflow:
import airflow
# Check Airflow version
print(airflow.__version__)
# Review DAGs for insecure dag_run.conf usage
# (Manual code review required)• generic web:
curl -I http://<airflow_url>/ | grep 'Server: Apache Airflow'disclosure
エクスプロイト状況
EPSS
0.08% (23% パーセンタイル)
CVE-2026-30898 の主な軽減策は、Apache Airflow をバージョン 3.2.0 以降にアップグレードすることです。このバージョンには、この脆弱性を防止するための修正が含まれています。さらに、BashOperator を使用し、dagrun.conf を操作する既存の DAG をすべて確認することを強くお勧めします。ユーザーが提供するデータを適切にサニタイズせずにシステムコマンドに直接渡すコードをすべて削除します。システムコマンドで使用されるすべてのユーザー入力の堅牢な検証とエスケープを実装します。環境変数や事前に定義された構成ファイルなど、より安全な構成の代替手段の使用を検討してください。dagrun.conf をユーザーが提供するデータの代わりに依存することを避けてください。
Actualice Apache Airflow a la versión 3.2.0 o superior para mitigar la vulnerabilidad de inyección de comandos. Revise las DAGs existentes para identificar y corregir cualquier uso incorrecto de `dag_run.conf` que pueda permitir la ejecución de código no autorizado.
脆弱性分析と重要アラートをメールでお届けします。
3.2.0 より前のバージョンがこの脆弱性に対して脆弱です。
ユーザーが提供するデータをサニタイズせずに dag_run.conf を使用する BashOperator を DAG で確認してください。
現在、この脆弱性に対する特定の自動化ツールはありませんが、手動での DAG のレビューが最も信頼性の高い方法です。
システムコマンドにデータを渡すために、環境変数、事前に定義された構成ファイル、または安全な入力パラメーターを使用してください。
詳細については、Apache Airflow のセキュリティアドバイザリと公式ドキュメントを参照してください。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。