Apache Airflow: Stack trace blootleggen in geval van constraint error

De CVE-2026-30912 kwetsbaarheid in Apache Airflow legt gevoelige informatie bloot via de API, zelfs wanneer 'api/exposestacktraces' op false staat. Specifiek, in geval van SQL-fouten, worden de uitzondering en de stack trace via de API onthuld. Dit kan een aanvaller in staat stellen details te verkrijgen over de onderliggende infrastructuur, de databaseconfiguratie of zelfs codefragmenten, die voor toekomstige aanvallen kunnen worden gebruikt. De ernst van deze kwetsbaarheid ligt in de mogelijkheid voor een aanvaller om waardevolle informatie te verzamelen om de beveiliging van het Airflow-systeem en de gegevens die het beheert, te compromitteren. Het blootleggen van stack traces, zelfs ogenschijnlijk beperkt tot SQL-fouten, kan kritieke inzichten in de interne werking van Airflow-taken onthullen.

Organizations heavily reliant on Apache Airflow for data orchestration and ETL pipelines are at increased risk. Environments with less stringent API access controls or those running older, unpatched Airflow versions are particularly vulnerable. Shared hosting environments where multiple users share an Airflow instance also face a heightened risk due to the potential for cross-tenant information leakage.

• python / airflow:

import requests
import json

# Replace with your Airflow API endpoint
api_endpoint = "http://your_airflow_api/api/v1/dags/<dag_id>/dagRuns/<dag_run_id>"

# Trigger an error to check for stack trace exposure
payload = {}
headers = {'Content-Type': 'application/json'}

response = requests.post(api_endpoint, data=json.dumps(payload), headers=headers)

if response.status_code == 200:
    if "traceback" in response.text.lower():
        print("Potential vulnerability detected: Stack trace exposed.")
    else:
        print("No stack trace exposed.")
else:
    print(f"Error: {response.status_code}")

• generic web:

curl -I http://your_airflow_api/api/v1/dags/<dag_id>/dagRuns/<dag_run_id> | grep "traceback"

1. 2026-04-18Disclosure

   disclosure

1. Gereserveerd2026-03-07
2. Gepubliceerd2026-04-18
3. Gewijzigd2026-04-20
4. EPSS bijgewerkt2026-04-25

De aanbevolen mitigatie voor CVE-2026-30912 is het upgraden van Apache Airflow naar versie 3.2.0 of hoger. Deze versie bevat een correctie die voorkomt dat uitzonderingen en stack traces in de API worden blootgelegd in geval van SQL-fouten. Het wordt ten zeerste aanbevolen om deze upgrade zo snel mogelijk uit te voeren om uw Airflow-omgeving te beschermen. Voordat u een upgrade uitvoert, is het essentieel om een volledige back-up van uw Airflow-configuratie en de bijbehorende gegevens te maken. Bovendien wordt aanbevolen om de upgrade in een testomgeving te testen voordat deze in productie wordt geïmplementeerd om het risico op serviceonderbrekingen te minimaliseren. Het monitoren van Airflow-logboeken na de upgrade is cruciaal om ervoor te zorgen dat de correctie correct is toegepast en geen nieuwe problemen heeft geïntroduceerd.