CVSS 9.0 以上
CVE-2026-33264
要約
`BaseSerialization.deserialize()` のバグにより、SchedulerまたはAPI Serverがシリアライズ済みのDAGを読み込む際、攻撃者が制御するクラスパスに対して制限のない `import_string()` が実行できた。DAG作成者が悪意あるトリガーをDAGに埋め込むことで、API ServerまたはSchedulerのプロセス上でリモートコード実行が可能になり、DAG作成者のコードがそれらのプロセスで実行されてはならないというAirflowのセキュリティ境界を越えるものだった。`apache-airflow` 3.3.0以降へのアップグレードが推奨され、多層防御策として `[core] allowed_deserialization_classes` を狭い許可リストに制限する方法も示されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Apache Airflow
このタグの新着を RSS で受け取る: Apache Airflow(使い方)
判定の理由
- CVSS 9.0 以上