CVE-2026-68871
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Backend Yandex Lockbox w dostawcy Yandex w Apache Airflow rozwiązywał identyfikator Connection lub Variable o zakresie zespołu poprzez wyszukiwanie niezależne od zespołu, gdy wyszukiwanie w zakresie zespołu nie powiodło się. W środowisku z trybem wielozespołowym z tym backendem, wywołujący z jednego zespołu mógł rozwiązać sekret należący do innego zespołu, podając identyfikator odpowiadający przestrzeni nazw tego zespołu, uzyskując pełne poświadczenia. Zaleca się aktualizację do apache-airflow-providers-yandex 4.5.1 lub nowszej, która odrzuca takie obejście.
Ocena ryzyka
Możliwość uzyskania poświadczeń innego zespołu może prowadzić do naruszenia poufności danych i nieautoryzowanego dostępu do zasobów.
Rekomendacja
Zaleca się aktualizację pakietu apache-airflow-providers-yandex do wersji 4.5.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Yandex Lockbox secrets backend in Apache Airflow's Yandex provider resolved a team-scoped Connection or Variable id through the team-agnostic lookup when the team-scoped lookup missed. In a deployment running multi-team mode with this backend, a caller in one team could resolve a secret belonging to another team by supplying an id that spells out that team's namespace, obtaining its credentials in full. No unusual configuration is required beyond enabling multi-team mode and using this backend. Users are advised to upgrade to apache-airflow-providers-yandex 4.5.1 or later, which refuses the team-agnostic fall-through for an id that could name a team namespace.