「Apache Airflow」に脆弱性 - 接続情報が漏洩するおそれ

ワークフロー管理ツール「Apache Airflow」に脆弱性が明らかとなった。8月にリリースしたアップデートで修正済みだという。

「同3.0.3」においてアクセス制限がバイパスされ、外部接続の認証情報が権限なしに参照されるおそれがある脆弱性「CVE-2025-54831」が明らかとなったもの。

本来、機密フィールドとして管理される接続情報については、編集権限を持つユーザーのみ参照できるが、読み取り権限を持つユーザーからユーザーインタフェースやAPI経由で閲覧できることが判明した。

開発チームでは、脆弱性の重要度を4段階中、上から2番目にあたる「重要（Important）」と評価。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」とし、重要度を「高（High）」としている。

開発チームは、現地時間2025年8月9日にリリースした「同3.0.4」で修正済みであると説明。利用者にアップデートを呼びかけている。

（Security NEXT - 2025/09/29 ）ツイート