JVNDB-2026-017860

Apache Software FoundationのApache Airflowにおけるユーザ制御の鍵による認証回避に関する脆弱性

Apache AirflowのバルクTask Instances API（`PATCH/DELETE /api/v2/dags/{dag_id}/dagRuns/{dag_run_id}/taskInstances`）には、URLパスから解決された`dag_id`に対して認可を評価しつつ、リクエストボディのエンティティフィールドから抽出された`dag_id`と`dag_run_id`に対して操作を行ってしまうバグがあります。編集権限を持つ認証済みのUI/APIユーザーは、URLパスに認可されたDagのIDを保持しながらも、対象のDagのIDをリクエストボディのエンティティに指定することで、任意の他のDagのTask Instanceの状態を変更できます。この問題は、チーム間でTask Instanceの状態を分離するために、各Dagごとに編集権限を管理している環境に影響します。ユーザーは`apache-airflow`を3.2.2以降にアップグレードすることを推奨します。

Apache Software Foundation

• Apache Airflow 3.2.0 以上 3.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-41084: Apache Airflow: API authorization bypass: bulk TaskInstances allows cross-DAG mutation-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-41084: Apache Airflow: API authorization bypass: bulk TaskInstances allows cross-DAG mutation

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-41084

1. National Vulnerability Database (NVD) : CVE-2026-41084
2. 関連文書 : Fix bulk task instance rbac bypass by gopidesupavan  Pull Request #64288  apache/airflow  GitHub

• [2026年06月04日]
    掲載