CVE-2026-67260
Açıklama
Apache Airflow 3.3.0, insan döngüde (human-in-the-loop) görevlerini triggerer'dan, zamanlayıcı tarafından taranan yeni bir `awaiting_input` görev durumuna taşıdı. Bu tarama, görev örneğinin `next_kwargs` değerini bir izin listesi olmadan seri durumdan çıkarır; bu nedenle, bu değeri görev yürütme API'si aracılığıyla kontrol eden bir Dag yazarı, zamanlayıcı süreci içinde rastgele bir modül içe aktarılmasına ve nesne örneklemesine neden olabilir veya zamanlayıcı işini sonlandırabilir. Varsayılan dışında bir yapılandırma gerekmez: tarama her 15 saniyede bir koşulsuz olarak çalışır ve varsayılan `allowed_deserialization_classes` ayarı bu kod yolunu kapsamaz. 3.3.0 öncesi sürümler etkilenmez, çünkü insan döngüde görevler bunun yerine triggerer'a erteleniyordu. Bu, aynı korumasız istisna düğümü seri durumdan çıkarma işleminin başka bir yerde erişildiğini kapsayan CVE-2026-58076'dan farklı bir kod yoludur — bu düzeltmeyi uygulamış dağıtımların bu sorun için de yükseltme yapması gerekir. Kullanıcıların apache-airflow 3.3.1 veya sonraki bir sürüme yükseltme yapması önerilir.
Nasıl düzeltilir
- apache airflow3.3.1 ya da sonraki bir sürüm
- apache-airflow3.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | 3.3.0 ≤ v < 3.3.1 | 3.3.1 |
| apache-airflowPyPI | 3.3.0 ≤ v < 3.3.1 | 3.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.