Apache Airflow: 制約エラーの場合のスタックトレースの表示

Apache Airflow の CVE-2026-30912 は、'api/exposestacktraces' が false に設定されている場合でも、API を通じて機密情報を公開します。具体的には、SQL エラーが発生した場合、例外とスタックトレースが API を通じて公開されます。これにより、攻撃者は、基盤となるインフラストラクチャ、データベース構成、またはコードスニペットの詳細を入手できる可能性があり、将来の攻撃に使用される可能性があります。この脆弱性の重大性は、攻撃者が Airflow システムとその管理するデータのセキュリティを侵害するために貴重な情報を収集する可能性があることにあります。SQL エラーに限定されているように見えるスタックトレースの公開であっても、Airflow タスクの内部動作に関する重要な洞察を明らかにする可能性があります。

Organizations heavily reliant on Apache Airflow for data orchestration and ETL pipelines are at increased risk. Environments with less stringent API access controls or those running older, unpatched Airflow versions are particularly vulnerable. Shared hosting environments where multiple users share an Airflow instance also face a heightened risk due to the potential for cross-tenant information leakage.

• python / airflow:

import requests
import json

# Replace with your Airflow API endpoint
api_endpoint = "http://your_airflow_api/api/v1/dags/<dag_id>/dagRuns/<dag_run_id>"

# Trigger an error to check for stack trace exposure
payload = {}
headers = {'Content-Type': 'application/json'}

response = requests.post(api_endpoint, data=json.dumps(payload), headers=headers)

if response.status_code == 200:
    if "traceback" in response.text.lower():
        print("Potential vulnerability detected: Stack trace exposed.")
    else:
        print("No stack trace exposed.")
else:
    print(f"Error: {response.status_code}")

• generic web:

curl -I http://your_airflow_api/api/v1/dags/<dag_id>/dagRuns/<dag_run_id> | grep "traceback"

1. 2026-04-18Disclosure

   disclosure

1. 予約済み2026-03-07
2. 公開日2026-04-18
3. 更新日2026-04-20
4. EPSS 更新日2026-04-25

CVE-2026-30912 の推奨される軽減策は、Apache Airflow をバージョン 3.2.0 以降にアップグレードすることです。このバージョンには、SQL エラーが発生した場合、API で例外とスタックトレースを公開しないようにする修正が含まれています。Airflow 環境を保護するために、できるだけ早くこのアップグレードを実行することを強くお勧めします。アップグレードする前に、Airflow の構成と関連するデータの完全なバックアップを作成することが不可欠です。さらに、本番環境に展開する前に、ステージング環境でアップグレードをテストすることをお勧めします。アップグレード後、Airflow のログを監視して、修正が正しく適用され、新しい問題が発生していないことを確認することが重要です。