Apache Airflow possui uma falha de bypass de autorização no endpoint DagRun wait

A principal consequência desta vulnerabilidade é a violação do modelo de segurança do Airflow. Usuários com permissões de leitura, como o papel Viewer, podem acessar valores XCom que deveriam ser protegidos. XComs frequentemente contêm dados sensíveis, como credenciais de banco de dados, chaves de API ou informações confidenciais de processamento. O acesso não autorizado a esses dados pode levar a roubo de informações, comprometimento de sistemas e, potencialmente, a ataques de escalonamento de privilégios. A exploração bem-sucedida pode permitir que um atacante obtenha informações sobre o fluxo de trabalho do Airflow, identifique pontos fracos e planeje ataques mais sofisticados. O blast radius é limitado ao acesso aos dados XCom, mas o impacto pode ser significativo dependendo da sensibilidade das informações armazenadas.

Organizations utilizing Apache Airflow with deployments that grant the Viewer role access to DAG Runs are particularly at risk. This includes environments leveraging shared hosting services where multiple users may have access to the same Airflow instance. Legacy Airflow configurations that haven't been regularly reviewed for security best practices are also vulnerable.

• python / airflow:

import airflow
# Check Airflow version
print(airflow.__version__)
# If version is <= 3.1.8, the vulnerability is present.

• linux / server:

# Check for Airflow processes
ps aux | grep airflow
# Review Airflow logs for unauthorized access attempts to the DagRun wait endpoint.
journalctl -u airflow -f | grep "DagRun wait endpoint"

• generic web:

curl -I http://<airflow_host>/api/v1/dags/<dag_id>/dagRuns/<dag_run_id>/xcom
# Check the response headers for any unusual access patterns or unauthorized requests.

1. 2026-04-09Disclosure

   disclosure

1. Reservado2026-03-30
2. Publicada2026-04-09
3. Modificada2026-04-15
4. EPSS atualizado2026-04-16

A mitigação primária para o CVE-2026-34538 é a atualização para a versão 3.2.0 do Apache Airflow, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de controle de acesso mais rigorosas para restringir o acesso ao endpoint DagRun wait. Implemente regras de firewall ou WAF (Web Application Firewall) para bloquear solicitações não autorizadas ao endpoint. Revise as permissões dos usuários e grupos, garantindo que apenas usuários autorizados tenham acesso aos dados XCom. Após a atualização para a versão 3.2.0, verifique se o acesso aos valores XCom está corretamente restrito aos usuários com as permissões apropriadas, testando com diferentes papéis de usuário.