Apache Software FoundationのApache Airflowにおける信頼できないデータのデシリアライゼーションに関する脆弱性
| Title |
Apache Software FoundationのApache Airflowにおける信頼できないデータのデシリアライゼーションに関する脆弱性
|
| Summary |
Dag Authorsは通常、ウェブサーバーのコンテキストでコードを実行すべきではありませんが、XComペイロードを巧みに作成することでウェブサーバーに任意のコードを実行させる可能性がありました。Dag Authorsは既に高く信頼されているため、この問題の重大度は低いと判断されています。ユーザーは、この問題を修正したApache Airflow 3.2.0にアップグレードすることを推奨します。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
April 18, 2026, midnight |
| Registration Date |
April 23, 2026, 10:14 a.m. |
| Last Update |
April 23, 2026, 10:14 a.m. |
|
CVSS3.0 : 緊急
|
| Score |
9.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Affected System
| Apache Software Foundation |
|
Apache Airflow 3.2.0 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年04月23日]
掲載 |
April 23, 2026, 10:14 a.m. |
NVD Vulnerability Information
CVE-2026-25917
| Summary |
Dag Authors, who normally should not be able to execute code in the webserver context could craft XCom payload causing the webserver to execute arbitrary code. Since Dag Authors are already highly trusted, severity of this issue is Low.
Users are recommended to upgrade to Apache Airflow 3.2.0, which fixes the issue.
|
| Publication Date |
April 18, 2026, 4:16 p.m. |
| Registration Date |
April 19, 2026, 4:09 a.m. |
| Last Update |
April 22, 2026, 11:16 p.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:apache:airflow:*:*:*:*:*:*:*:* |
|
|
|
3.2.0 |
Related information, measures and tools
Common Vulnerabilities List