CVE-2026-68872
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Backendy AWS Systems Manager Parameter Store i Secrets Manager w dostawcy Amazon w Apache Airflow rozwiązywały identyfikator Connection lub Variable o zakresie zespołu poprzez wyszukiwanie niezależne od zespołu, gdy wyszukiwanie w zakresie zespołu nie powiodło się. W środowisku z trybem wielozespołowym z jednym z tych backendów, wywołujący z jednego zespołu mógł rozwiązać sekret należący do innego zespołu, podając identyfikator odpowiadający przestrzeni nazw tego zespołu, uzyskując pełne poświadczenia. Zaleca się aktualizację do apache-airflow-providers-amazon 9.34.0 lub nowszej, która odrzuca takie obejście.
Ocena ryzyka
Możliwość uzyskania poświadczeń innego zespołu może prowadzić do naruszenia poufności danych i nieautoryzowanego dostępu do zasobów.
Rekomendacja
Zaleca się aktualizację pakietu apache-airflow-providers-amazon do wersji 9.34.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The AWS Systems Manager Parameter Store and Secrets Manager backends in Apache Airflow's Amazon provider resolved a team-scoped Connection or Variable id through the team-agnostic lookup when the team-scoped lookup missed. In a deployment running multi-team mode with either backend, a caller in one team could resolve a secret belonging to another team by supplying an id that spells out that team's namespace, obtaining its credentials in full. No unusual configuration is required beyond enabling multi-team mode and using one of these backends. Users are advised to upgrade to apache-airflow-providers-amazon 9.34.0 or later, which refuses the team-agnostic fall-through for an id that could name a team namespace.