JVNDB-2026-028189

Apache Software FoundationのApache Airflowにおけるログファイルからの情報漏えいに関する脆弱性

Apache Airflowは、バルクエンドポイント（`PATCH /api/v2/variables`および`PATCH /api/v2/connections`）を通じて送信された際に、Variableの値およびConnectionの`extra`内容を監査ログに平文で書き込んでいました。監査ログのマスキングは最上位のリクエストフィールドのみ認識しており、バルクリクエストではエンティティが二階層下に入れ子になっているため、それらにはマスキングが適用されていませんでした。監査ログの読み取りアクセス権を持つ認証済みユーザーであれば、VariablesやConnectionsの読み取り権限がまったくなくても、それらの秘密情報をそのまま取得可能でした。また、Connectionの`extra`のコピーは接続テーブルでは暗号化されていますが、監査ログには暗号化されずに保存されています。Airflow UIの*Import Variables*アクションはこのエンドポイントに投稿するため、通常のオペレーターによるインポートでファイル内のすべての秘密情報がログに書き込まれてしまいます。これはCVE-2026-50204とは異なるコードパスです。CVE-2026-50204の修正は3.3.0で導入され、単一エンティティエンドポイントのみを対象としているため、そのアドバイザリに対応してアップグレードした環境でも影響を受け続けており、再度アップグレードが必要です。ユーザーはapache-airflowを3.3.1以降にアップグレードすることを推奨します。

Apache Software Foundation

• Apache Airflow 3.3.1 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. ログファイルからの情報漏えい(CWE-532) [その他]

1. CVE-2026-68969

1. National Vulnerability Database (NVD) : CVE-2026-68969
2. 関連文書 : CVE-2026-68969: Apache Airflow: Bulk Variable and Connection endpoints record secret values in the audit log in cleartext-Apache Mail Archives
3. 関連文書 : Mask nested entities when writing bulk audit-log entries by potiuk  Pull Request #70890  apache/airflow  GitHub

• [2026年08月17日]
    掲載