JVNDB-2026-017744

Apache Software FoundationのApache Airflowにおけるファイルおよびディレクトリ情報の漏えいに関する脆弱性

Apache AirflowのKubernetesExecutorにおけるバグにより、ワーカーポッドがExecution APIに対して認証するために使用するJWTトークンが、ポッドスペック内で確認可能なコマンドライン引数としてワーカーコンテナに渡されてしまいました。Kubernetesクラスターに対して読み取り専用アクセス権（例：Airflow名前空間でのpods/get）を持つ認証済みのUI/APIユーザーはkubectl describe podの出力からJWTを取得し、その後、ステートを変更するExecution APIのエンドポイントを呼び出すことで、実行中のタスクのようにDagの実行トリガーや実行のクリア、Variables / Connections / XComsの読み書きを行うことが可能でした。この影響はKubernetesExecutorを使用しているデプロイメントに及びます。ユーザーはapache-airflowをバージョン3.2.2以降にアップグレードすることを推奨します。本脆弱性はapache-airflow-providers-cncf-kubernetes側の修正と同じ問題に該当しており、apache-airflow-providers-cncf-kubernetesをバージョン10.17.0以降にアップグレード済みの場合でも、apache-airflowも3.2.2以降にアップグレードして両方の修正を適用する必要があります。この二つの修正は補完的であり重複していません。

Apache Software Foundation

• Apache Airflow 3.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-49298: Apache Airflow: JWT Token Exposure in KubernetesExecutor Command-Line Arguments-Apache Mail Archives

1. ファイルおよびディレクトリ情報の漏えい(CWE-538) [その他]

1. CVE-2026-49298

1. National Vulnerability Database (NVD) : CVE-2026-49298
2. 関連文書 : Two-token mechanism for task execution to prevent token expiration while tasks wait in executor queues by anishgirianish  Pull Request #60108  apache/airflow  GitHub

• [2026年06月04日]
    掲載