Apache Airflow: DagRun 等待端点中的授权绕过 (XCom 暴露)

Apache Airflow 中的 CVE-2026-34538 漏洞影响 3.0.0 到 3.1.8 版本的系统。它允许具有 DagRun 只读权限的用户（例如 'Viewer' 角色）访问 XCom 结果值。这与将 XCom 视为单独受保护资源的 FAB RBAC 模型以及将 'Viewer' 角色定义为只读权限的安全模型文档相矛盾。 XCom 中存储的敏感数据未经授权的暴露可能会危及工作流程处理的信息的机密性。 CVSS 严重程度评分为 6.5，表明存在中等风险。

Organizations utilizing Apache Airflow with deployments that grant the Viewer role access to DAG Runs are particularly at risk. This includes environments leveraging shared hosting services where multiple users may have access to the same Airflow instance. Legacy Airflow configurations that haven't been regularly reviewed for security best practices are also vulnerable.

• python / airflow:

import airflow
# Check Airflow version
print(airflow.__version__)
# If version is <= 3.1.8, the vulnerability is present.

• linux / server:

# Check for Airflow processes
ps aux | grep airflow
# Review Airflow logs for unauthorized access attempts to the DagRun wait endpoint.
journalctl -u airflow -f | grep "DagRun wait endpoint"

• generic web:

curl -I http://<airflow_host>/api/v1/dags/<dag_id>/dagRuns/<dag_run_id>/xcom
# Check the response headers for any unusual access patterns or unauthorized requests.

1. 2026-04-09Disclosure

   disclosure

1. 已保留2026-03-30
2. 发布日期2026-04-09
3. 修改日期2026-04-15
4. EPSS 更新日期2026-04-16

此漏洞的解决方案是将 Apache Airflow 升级到 3.2.0 或更高版本。此版本通过限制具有适当权限的用户对 XCom 值的访问来修复此问题。 建议尽快应用此更新以降低数据暴露风险。 此外，请审查您的用户权限配置，以确保只有授权用户才能访问 Airflow 资源。 监控 Airflow 日志，以查找与 XCom 访问相关的任何可疑活动。