JVNDB-2026-017795

Apache Software FoundationのApache Airflowにおける情報漏えいに関する脆弱性

Apache AirflowのGET `/api/v2/connections/{connection_id}` REST APIエンドポイントに存在するバグにより、認証済みのUI/APIユーザーで接続の読み取り権限を持つ者が、赤字削除許可リスト（`DEFAULT_SENSITIVE_FIELDS`）に含まれていないフィールド名のConnectionの`extra` JSONデータ内に格納された秘密情報を取得できてしまう問題がありました。例えば、公式のSlackプロバイダーの資格情報フィールド名がプレーンテキストで返されるケースがありました。この脆弱性は、資格情報をConnectionの`extra`データに保存し、複数のユーザーに接続読み取りアクセスを付与している環境に影響します。ユーザーは`apache-airflow`のバージョン3.2.2以降にアップグレードすることが推奨されています。防御の多層化策として、デプロイ運用者は敏感な資格情報をConnectionの`extra`フィールドに直接記述するのではなく、シークレットバックエンドに保存することを推奨します。

Apache Software Foundation

• Apache Airflow 3.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-45192: Apache Airflow: Incomplete Redaction of Sensitive Fields in Connection Extra API Response-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-45192: Apache Airflow: Incomplete Redaction of Sensitive Fields in Connection Extra API Response

1. 情報漏えい(CWE-200) [その他]

1. CVE-2026-45192

1. National Vulnerability Database (NVD) : CVE-2026-45192
2. 関連文書 : Extend DEFAULT_SENSITIVE_FIELDS with webhook_url, bearer, dsn, auth_header, service_key by potiuk  Pull Request #66673  apache/airflow  GitHub

• [2026年06月04日]
    掲載