CVE-2026-33264
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-502
- KEV Durumu
- Hayır
Yayım tarihi: 7 Temmuz 2026
Etkilenen: apache airflow
`BaseSerialization.deserialize()`中的 bir hata, zamanlayıcı/API sunucusu seri hale getirilmiş bir DAG yüklediğinde, saldırganın kontrol ettiği sınıf yollarının kısıtlanmamış `import_string()` işlemlerine izin verdi: bir DAG yazarı, DAG'ye kötü amaçlı bir tetikleyici gömmek suretiyle API Sunucusu/Zamanlayıcı işleminde uzaktan kod çalıştırması elde edebilirdi ve bu, DAG yazarı kodlarının bu işlemlerde asla çalıştırılmaması gereken Airflow güvenlik sınırını aşardı. Kullanıcıların `apache-airflow` 3.3.0 veya daha yeni bir sürüme yükseltmeleri tavsiye edilir. Derinlemesine savunma olarak, DAG yazarı güveninin sınırlı olduğu dağıtımlar, `[core] allowed_deserialization_classes` yapılandırmasını dar bir izin listesine kısıtlayabilir.
Orijinal açıklama (İngilizce)
A bug in `BaseSerialization.deserialize()` allowed unrestricted `import_string()` of attacker-controlled class paths when the Scheduler / API Server loaded a serialized DAG: a DAG author could embed a malicious trigger into a DAG to gain remote code execution on the API Server / Scheduler process, crossing the Airflow security boundary that DAG-author code must never execute in those processes. Users are advised to upgrade to `apache-airflow` 3.3.0 or later. As a defense-in-depth mitigation, deployments where DAG-author trust is limited can restrict the `[core] allowed_deserialization_classes` config to a narrow allowlist.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.