PT-2026-45384 · Apache · Apache Airflow

Anish Giri + 2 · Publicado 2026-06-01 · Atualizado 2026-06-05 · CVE-2026-49298

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.2.2

Descrição Um erro no KubernetesExecutor faz com que os tokens JSON Web Tokens (JWT), utilizados por pods de trabalho para se autenticarem na API de Execução, sejam passados para o contentor de trabalho como argumentos de linha de comando. Estes tokens ficam visíveis na especificação do pod. Um utilizador autenticado da UI ou API com acesso de leitura ao Kubernetes no cluster, como a permissão pods/get no namespace do Airflow, pode recuperar o JWT através da saída do comando kubectl describe pod. Isto permite que o utilizador chame endpoints de mutação de estado da API de Execução para disparar execuções de DAG, limpar execuções ou ler e escrever Variáveis, Conexões e XComs, simulando a identidade de uma tarefa em execução.

Recomendações Atualizar para a versão 3.2.2 ou posterior.

Correção

Enumeração de Fraquezas

CWE-538

Identificadores relacionados

BIT-AIRFLOW-2026-49298

CVE-2026-49298

Produtos afetados

Apache Airflow

Referências · 6

• https://github.com/apache/airflow/pull/60108 · Correção
• https://t.me/CVEtracker/55466 · Publicação no Telegram
• https://lists.apache.org/thread/wo09vrks8189dzsot39rvrx3vnx102tt · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-49298 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-airflow-2026-49298 · Aviso do Fabricante
• https://t.me/cveNotify/165762 · Publicação no Telegram