JVNDB-2026-028780

Apache Software FoundationのApache Airflowにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Apache AirflowのTask SDKは、シリアライズされたデータから`Callback`オブジェクトを再構築する際に、そのコンストラクタを再実行し、保存されたコールバックパスによって指定されたモジュールをインポートします。`SyncCallback`はAirflowのクラスであるため、デフォルトの`allowed_deserialization_classes`許可リストを通過し、この設定を厳しくしても効果がありません。Dagの作成者は、タスク実行APIを通じてタスクインスタンスの`next_kwargs`を制御できるため、スケジューラの`awaiting_input`タイムアウトスイープがその値をデシリアライズするときに、スケジューラプロセス内で任意のモジュールをインポートさせることが可能です。特別な非デフォルト設定は不要であり、このスイープは無条件に実行されます。バージョン3.3.0未満は影響を受けません。クラス自体は存在していましたが、それに到達するスケジューラスイープは存在しませんでした。本件は、異なるガジェットをデシリアライズに到達させるCVE-2026-58076およびCVE-2026-67260とは別のコードパスによるものであり、これらの修正を適用しても対処できません。ユーザーはapache-airflow 3.3.1以降へのアップグレードを推奨されています。

Apache Software Foundation

• Apache Airflow 3.3.0 以上 3.3.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-67587: Apache Airflow: DAG-author remote code execution on the Scheduler via a Serde `Callback` deserialization gadget-Apache Mail Archives

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-67587

1. National Vulnerability Database (NVD) : CVE-2026-67587
2. 関連文書 : Do not import the stored path when rebuilding a Callback from serialized data by potiuk  Pull Request #70704  apache/airflow  GitHub

• [2026年08月19日]
    掲載