CVE-2026-49298

Apache Airflow-nun KubernetesExecutor komponentindəki bir xəta, worker pod-ları tərəfindən Execution API-da autentifikasiya üçün istifadə olunan JWT tokenlərinin worker konteynerinə pod spesifikasiyasında görünən komanda sətri arqumentləri kimi ötürülməsinə səbəb olmuşdur. Klasterə Kubernetes oxuma hüququ olan (məsələn, Airflow namespace-də `pods/get`) autentifikasiya olunmuş UI/API istifadəçisi, `kubectl describe pod` çıxışından JWT-ni əldə edə və daha sonra dövlət dəyişdirici Execution API son nöqtələrinə müraciət edərək — sanki işlək bir tapşırmış kimi DAG işlərini başlatmaq, işləri təmizləmək, Variable / Connection / XCom məlumatlarını oxumaq və ya yazmaq — imkanına nail ola bilərdi. Bu problem `KubernetesExecutor` istifadə edən deployment-lara təsir edir. İstifadəçilərə `apache-airflow` versiyasını 3.2.2 və ya daha yeni versiyaya yüksəltməkləri tövsiyə olunur. Bu, [CVE-2026-27173](https://www.cve.org/CVERecord?id=CVE-2026-27173) ilə həll edilən eyni zəifliyin airflow-core hissəsidir; həmin CVE-nin düzəlişi apache-airflow-providers-cncf-kubernetes tərəfini əhatə etmişdi. CVE-2026-27173 bildirişinə uyğun olaraq artıq `apache-airflow-providers-cncf-kubernetes` versiyasını 10.17.0 və ya daha yenisinə yüksəltmiş deployment-lar, nüvə tərəfdəki boşluğu bağlamaq üçün əlavə olaraq `apache-airflow` versiyasını 3.2.2 və ya daha yenisinə yüksəltməlidir — bu iki düzəliş dublikat deyil, tamamlayıcıdır.