Apache Airflow: Exposição do stack trace em caso de erro de restrição

A vulnerabilidade CVE-2026-30912 no Apache Airflow expõe informações sensíveis através da API, mesmo quando a configuração 'api/exposestacktraces' está desativada. Especificamente, em caso de erros de SQL, a exceção e o rastreamento de pilha são revelados através da API. Isso pode permitir que um atacante obtenha detalhes sobre a infraestrutura subjacente, a configuração do banco de dados ou até mesmo trechos de código, que podem ser usados para futuros ataques. A gravidade desta vulnerabilidade reside na possibilidade de um atacante coletar informações valiosas para comprometer a segurança do sistema Airflow e dos dados que ele gerencia. A exposição de rastreamentos de pilha, mesmo aparentemente limitada a erros de SQL, pode revelar insights críticos sobre o funcionamento interno das tarefas do Airflow.

Organizations heavily reliant on Apache Airflow for data orchestration and ETL pipelines are at increased risk. Environments with less stringent API access controls or those running older, unpatched Airflow versions are particularly vulnerable. Shared hosting environments where multiple users share an Airflow instance also face a heightened risk due to the potential for cross-tenant information leakage.

• python / airflow:

import requests
import json

# Replace with your Airflow API endpoint
api_endpoint = "http://your_airflow_api/api/v1/dags/<dag_id>/dagRuns/<dag_run_id>"

# Trigger an error to check for stack trace exposure
payload = {}
headers = {'Content-Type': 'application/json'}

response = requests.post(api_endpoint, data=json.dumps(payload), headers=headers)

if response.status_code == 200:
    if "traceback" in response.text.lower():
        print("Potential vulnerability detected: Stack trace exposed.")
    else:
        print("No stack trace exposed.")
else:
    print(f"Error: {response.status_code}")

• generic web:

curl -I http://your_airflow_api/api/v1/dags/<dag_id>/dagRuns/<dag_run_id> | grep "traceback"

1. 2026-04-18Disclosure

   disclosure

1. Reservado2026-03-07
2. Publicada2026-04-18
3. Modificada2026-04-20
4. EPSS atualizado2026-04-25

A mitigação recomendada para CVE-2026-30912 é atualizar o Apache Airflow para a versão 3.2.0 ou superior. Esta versão inclui uma correção que impede a exposição de exceções e rastreamentos de pilha na API em caso de erros de SQL. Recomenda-se fortemente realizar esta atualização o mais rápido possível para proteger seu ambiente Airflow. Antes de atualizar, é crucial realizar um backup completo da configuração do Airflow e dos dados associados. Além disso, é sugerido testar a atualização em um ambiente de teste antes de implantá-la em produção para minimizar o risco de interrupções do serviço. Monitorar os logs do Airflow após a atualização é fundamental para garantir que a correção tenha sido aplicada corretamente e não tenha introduzido novos problemas.