JVNDB-2026-004905

Apache Software FoundationのApache Airflowにおけるコードインジェクションの脆弱性

DAGの作成者（すでにかなり多くの権限を持っている者）が、Airflow 2のデータベースを操作することで、通常は実行できないはずのウェブサーバーのコンテキストで任意のコードを実行できる可能性があります。これはユーザーが過去のタスク情報を表示した際に、ウェブサーバー（サーバー側）のコンテキストでリモートコード実行につながる事態を引き起こす可能性があります。この問題の原因となっている機能であるログテンプレート履歴は、2.11.1でデフォルトで無効化されています。ログテンプレート履歴の利用を継続したい場合はAirflow 3へのアップグレードが推奨されます。また、過去のログテンプレート変更前に生成されたログを閲覧したい場合は、手動で過去のログファイル名を変更することも可能です。

Apache Software Foundation

• Apache Airflow 2.11.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2024-56373: Apache Airflow: SSTI to Code Execution in Airflow through Shared DB Information-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2024-56373: Apache Airflow: SSTI to Code Execution in Airflow through Shared DB Information

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2024-56373

1. National Vulnerability Database (NVD) : CVE-2024-56373
2. 関連文書 : Disable use of LogTemplate table by default by potiuk  Pull Request #61880  apache/airflow  GitHub

• [2026年02月26日]
    掲載