CVE-2026-49298

Apache Airflow'un KubernetesExecutor bileşenindeki bir hata, worker pod'larının Execution API üzerinden kimlik doğrulaması yapmak için kullandığı JWT token'larının, pod spesifikasyonunda görünür şekilde komut satırı argümanları olarak worker konteynerine iletilmesine neden olmuştur. Kümede Kubernetes salt okunur erişimine sahip (örneğin Airflow ad alanında `pods/get`) kimliği doğrulanmış bir UI/API kullanıcısı, `kubectl describe pod` çıktısından JWT'yi elde edebilir ve ardından çalışan bir görevmiş gibi durum değiştirici Execution API uç noktalarını çağırarak DAG çalıştırmalarını tetikleyebilir, çalıştırmaları temizleyebilir veya Variable / Connection / XCom verilerini okuyup yazabilir. `KubernetesExecutor` kullanan dağıtımlar etkilenmektedir. Kullanıcıların `apache-airflow` 3.2.2 veya daha yeni bir sürüme yükseltme yapmaları önerilir. Bu, düzeltmenin apache-airflow-providers-cncf-kubernetes tarafını içeren [CVE-2026-27173](https://www.cve.org/CVERecord?id=CVE-2026-27173) ile ele alınan aynı güvenlik açığının airflow-core kısmıdır. CVE-2026-27173 bildirimi uyarınca `apache-airflow-providers-cncf-kubernetes` sürümünü halihazırda 10.17.0 veya daha üzerine yükselten dağıtımlar, çekirdek taraflı yüzeyi kapatmak için ek olarak `apache-airflow` sürümünü 3.2.2 veya daha üzerine yükseltmelidir; bu iki düzeltme birbirinin kopyası değil, tamamlayıcısıdır.