CVE-2026-48892
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w Apache Airflow ujawniała nadpisania sekretów backendu (zmienne środowiskowe) jako opcje konfiguracji, które nie były maskowane. Uwierzytelniony użytkownik z uprawnieniami do odczytu konfiguracji mógł pobrać jawne dane uwierzytelniające (np. role_id, secret_id) z API konfiguracji.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych danych uwierzytelniających do backendów sekretów (np. Vault), co może prowadzić do nieautoryzowanego dostępu do przechowywanych sekretów i eskalacji uprawnień.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Airflow do wersji 3.3.0 lub nowszej. Do czasu aktualizacji ograniczyć dostęp do API konfiguracji tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Config API in Apache Airflow surfaced per-key secrets-backend overrides (environment variables like `AIRFLOW__SECRETS__BACKEND_KWARG__SECRET_ID` and `AIRFLOW__WORKERS__SECRETS_BACKEND_KWARG__SECRET_ID`) as synthetic config options whose option names were not in `sensitive_config_values`, so the masker did not redact them. An authenticated UI/API user with Config read permission could retrieve plaintext secrets-backend credentials (Vault `role_id` / `secret_id`, etc.) from the Config API output. Affects deployments that configure secrets backends via per-key environment overrides. Users are advised to upgrade to `apache-airflow` 3.3.0 or later.