Apache Airflow: 3.x - Nested Variable Secret Values の Redaction バイパス (max_depth=1)

Apache Airflow の CVE-2026-32690 は、JSON 変数に機密値を保存しているインストールに影響します。具体的には、変数が JSON ディクショナリとして保存され、ユーザーによって取得されると、これらのディクショナリ内のネストされたフィールドに保存されているシークレットが適切に隠蔽されません。これにより、悪意のあるユーザーが、保護されているはずのパスワード、API キー、その他の機密データなどの機密情報にアクセスできるようになる可能性があります。この問題の重大度は、JSON 変数に保存されているシークレットの量と機密性に依存します。

Organizations using Apache Airflow versions 3.0.0 through 3.2.0, particularly those storing sensitive information as JSON dictionaries within Airflow Variables, are at risk. Shared Airflow deployments or environments with less stringent access controls are also more vulnerable.

• python / airflow:

import airflow
# Check Airflow version
print(airflow.__version__)
# Review Variables stored as JSON dictionaries for sensitive data

• generic web:

curl -I http://<airflow_url>/api/v1/variables | grep -i 'content-type: application/json'

1. 2026-04-18Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-04-18
3. 更新日2026-04-20
4. EPSS 更新日2026-04-25

最も効果的な軽減策は、Apache Airflow バージョン 3.2.0 以降にアップグレードすることです。このバージョンには、JSON 変数に保存されているシークレットが適切に隠蔽されるようにする修正が含まれています。直ちにアップグレードできない場合は、機密情報を保存するために JSON 変数を使用しないようにしてください。代わりに、環境変数や専用のシークレット管理ソリューションなど、より高いレベルのセキュリティと隠蔽を提供する代替のシークレット管理方法を検討してください。インフラストラクチャとデータを保護するために、アップグレードが不可欠です。