JVNDB-2026-017866

Apache Software FoundationのApache Airflowにおけるリンク解釈に関する脆弱性

Dagの作成者は、(a) タスクのログディレクトリに任意のファイルを指すシンボリックリンクを作成し、APIサーバープロセスがそれを読み取れる状態にする（読み取りパス攻撃 ― 例：`/etc/passwd` や `airflow.cfg`）、または (b) Task SDKの `KEY_REGEX` によって受け入れられる `..` シーケンスを含む `task_id` を提供する（書き込みパス攻撃）が可能です。これらいずれの場合も、FileTaskHandler は設定された `base_log_folder` の外部のログパスを解決し、任意のファイルが漏洩または上書きされるリスクがあります。本脆弱性は、ワーカーのログフォルダがAPIサーバーと共有されている環境にのみ影響します。ユーザーは `apache-airflow` 3.2.2 以降へアップグレードすることを推奨します。防御層を強化するために、ワーカーとAPIサーバーを別々のログボリュームでデプロイし、ワーカー管理パスがAPIサーバーのファイルシステムに到達できないようにしてください。

Apache Software Foundation

• Apache Airflow 3.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-40861: Apache Airflow: Arbitrary File Read via Log Symlink following in FileTaskHandler-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-40861: Apache Airflow: Arbitrary File Read via Log Symlink following in FileTaskHandler

1. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-40861

1. National Vulnerability Database (NVD) : CVE-2026-40861
2. 関連文書 : Refuse to follow log symlinks that resolve outside the base log folder by potiuk  Pull Request #65325  apache/airflow  GitHub

• [2026年06月04日]
    掲載