CVE-2026-68076

إصدارات Apache Airflow الأقدم من 3.3.1

تقوم الخلفية الخاصة بأسرار متغيرات البيئة (environment-variable secrets) بحل «الاتصالات» (Connections) أو «المتغيرات» (Variables) ذات نطاق الفريق بشكل غير صحيح من نطاق الفريق الخاطئ. ويحدث هذا لأن «حارس الأمان» (security guard) الذي كان يهدف إلى منع هذا السلوك لا يتم تنفيذه إلا في حالة عدم توفير نطاق فريق، كما أنه يفشل في مطابقة أسماء الفرق التي تحتوي على علامات التسطير السفلية. ونتيجة لذلك، يقوم النظام بقراءة عامة غير مشروطة للمتغير AIRFLOW CONN <TEAM> <ID>، بغض النظر عن الفريق الطالب. في وضع الفرق المتعددة، يمكن للمستخدم المصادق عليه استخدام نقطة النهاية POST /api/v2/connections/test لحل اتصال فريق آخر والمصادقة خارجيًا باستخدام بيانات الاعتماد تلك. يتطلب استغلال هذه الثغرة تمكين الإعداد [core] multi team، وتعيين [core] test connection على Enabled، وتوفير الأسرار الخاصة بنطاق الفريق كمتغيرات بيئة في عملية خادم واجهة برمجة التطبيقات (API-server)، ومعرفة المعرّف المشفر.

الترقية إلى apache-airflow 3.3.1 أو إصدار أحدث.