Apache Airflow heeft een autorisatie omzeiling in de DagRun wait endpoint

De impact van CVE-2026-34538 is significant, omdat het de integriteit van het toegangscontrolemodel van Airflow schendt. XComs worden gebruikt om data tussen taken in een DAG uit te wisselen, en deze data kan gevoelige informatie bevatten, zoals API sleutels, database credentials, of andere vertrouwelijke gegevens. Een aanvaller met Viewer rechten kan deze XCom data inzien, wat kan leiden tot ongeautoriseerde toegang tot systemen en data die door Airflow worden beheerd. Dit kan resulteren in data-exfiltratie, manipulatie van workflows, of zelfs volledige compromittering van de Airflow omgeving. De kwetsbaarheid maakt het mogelijk om informatie te verkrijgen die de beveiliging van de gehele pipeline in gevaar kan brengen, vergelijkbaar met het blootleggen van gevoelige configuratiebestanden.

Organizations utilizing Apache Airflow with deployments that grant the Viewer role access to DAG Runs are particularly at risk. This includes environments leveraging shared hosting services where multiple users may have access to the same Airflow instance. Legacy Airflow configurations that haven't been regularly reviewed for security best practices are also vulnerable.

• python / airflow:

import airflow
# Check Airflow version
print(airflow.__version__)
# If version is <= 3.1.8, the vulnerability is present.

• linux / server:

# Check for Airflow processes
ps aux | grep airflow
# Review Airflow logs for unauthorized access attempts to the DagRun wait endpoint.
journalctl -u airflow -f | grep "DagRun wait endpoint"

• generic web:

curl -I http://<airflow_host>/api/v1/dags/<dag_id>/dagRuns/<dag_run_id>/xcom
# Check the response headers for any unusual access patterns or unauthorized requests.

1. 2026-04-09Disclosure

   disclosure

1. Gereserveerd2026-03-30
2. Gepubliceerd2026-04-09
3. Gewijzigd2026-04-15
4. EPSS bijgewerkt2026-04-16

De primaire mitigatie voor CVE-2026-34538 is het upgraden van Apache Airflow naar versie 3.2.0 of hoger. Deze versie bevat de correctie die de onthulling van XCom data aan ongeautoriseerde gebruikers voorkomt. Indien een directe upgrade niet mogelijk is, overweeg dan om de toegangscontrole in Airflow te verfijnen door de Viewer rol verder te beperken en te zorgen voor een strikte naleving van het FAB RBAC model. Het implementeren van een Web Application Firewall (WAF) kan helpen om verdachte verzoeken naar de DagRun wait endpoint te blokkeren. Controleer de Airflow logs op ongebruikelijke toegangspatronen die kunnen wijzen op misbruik van de kwetsbaarheid. Na de upgrade, bevestig de correctie door een gebruiker met Viewer rechten te testen en te verifiëren dat deze geen toegang meer heeft tot XCom resultaten.