「Apache Airflow」の開発用拡張コンポーネントにRCE脆弱性

ワークフロー管理ツール「Apache Airflow」の拡張コンポーネント「Providers Edge3」に脆弱性が明らかとなった。

開発用に提供されている同コンポーネントを特定環境下で利用した際に、ウェブサーバのコンテキストで任意のコードを実行されるおそれがある脆弱性「CVE-2025-67895」が明らかとなったもの。

「Apache Airflow 2」環境へ導入すると本来は外部へ非公開とすべき内部APIが、インストールした際に暗黙的に有効化されるという。開発チームでは脆弱性の重要度を「低（Low）」と評価している。

一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」とし、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。

Apacheでは、「Apache Airflow 2」環境で同コンポーネントを使用している場合は、アンインストールしたうえで「Apache Airflow 3」へ移行するよう呼びかけている。

（Security NEXT - 2025/12/18 ）ツイート