JVNDB-2026-028188

Apache Software FoundationのApache Airflowにおける認証の欠如に関する脆弱性

Apache Airflowのアセットマテリアライゼーションエンドポイント（`POST /api/v2/assets/{asset_id}/materialize`）および `wait_dag_run_until_finished` のXCom結果チェックは、他の認可箇所とは異なり、対象のDagを所属チームなしで認可していました。チーム認識型の認可マネージャは、チームスコープのDagとグローバルなDagをフィールドによって区別します。例えば、Keycloak認可マネージャは `DAG:＜team＞` ではなく `DAG` リソースをチェックします。そのため、本来リクエストを制御すべきチームスコープの権限が参照されていませんでした。マルチチームモードかつチーム認識型認可マネージャを使用する環境では、あるチームの認証済みユーザーが他チームに属するDagの実行を、任意の `dag_run_id` と `conf` を指定してトリガーでき、さらに他チームのXCom値を読み取ることが可能でした。FAB認可マネージャを使用した環境は影響を受けません。なぜならFAB認可マネージャにはマルチチームサポートがないためです。ユーザーは、両箇所でDagの所属チームを解決するapache-airflow 3.3.1以降へアップグレードすることが推奨されています。

Apache Software Foundation

• Apache Airflow 3.3.1 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-68971

1. National Vulnerability Database (NVD) : CVE-2026-68971
2. 関連文書 : CVE-2026-68971: Apache Airflow: Cross-team authorization bypass in the asset materialization and dag-run result endpoints-Apache Mail Archives
3. 関連文書 : oss-security - CVE-2026-68971: Apache Airflow: Cross-team authorization bypass in the asset materialization and dag-run result endpoints
4. 関連文書 : Resolve the Dag's team when authorizing a Dag found by lookup by potiuk  Pull Request #70893  apache/airflow  GitHub

• [2026年08月17日]
    掲載