Tag: Airflow

Apache Airflow の脆弱性 CVE-2025-54831 が FIX：読み取り専用ユーザーによる機密情報の漏洩

Apache Airflow Vulnerability Lets Read-Only Users Access Sensitive Data

2025/09/26 gbhackers — Apache のメンテナーが公開したのは、Airflow 3.0.3 に存在する深刻なセキュリティ脆弱性 CVE-2025-54831 に関する情報である。この脆弱性を悪用する攻撃者は、読み取り権限だけを持つ場合であっても、Airflow API および Web インターフェイスを通じて、機密性の高い接続情報を閲覧できるという。それにより、Connections 内のシークレットの閲覧が、編集権限を保持するユーザーだけに限定されるという設計が損なわれ、認証情報などの機密データが漏洩する可能性がある。この Apache Airflow は、OSS のワークフロー・オーケストレーション・プラットフォームであり、データ・パイプラインのスケジュール設定と監視に広く利用されている。

Continue reading “Apache Airflow の脆弱性 CVE-2025-54831 が FIX：読み取り専用ユーザーによる機密情報の漏洩”

Apache Airflow のミスコンフィグ：認証情報の漏洩と AWS／Slack／PayPal などへの影響

https://gbhackers.com/apache-airflow-misconfigurations-leak-login-credentials/

2025/03/06 gbhackers —Apache Airflow のミスコンフィグに関する最近の調査により、ログイン認証情報／API キー／クラウド・サービスのアクセス・トークンなどを攻撃者に対して露出する、深刻な脆弱性の存在が明らかになった。このワークフロー・プラットフォームにおけるミスコンフィグの主な原因は、安全が確保されないコーディング手法や、古いバージョンの使用などにあり、金融／医療／e コマース業界などでの、データ・セキュリティ侵害につながるものだ。つまり、AWS／Slack／PayPal の認証情報や、内部データベースの認証情報が、適切に保護されていない状態になっていた。

Continue reading “Apache Airflow のミスコンフィグ：認証情報の漏洩と AWS／Slack／PayPal などへの影響”

Azure Data Factory の脆弱性：Apache Airflow 統合における問題を掘り下げる

Azure Data Factory Bugs Expose Cloud Infrastructure

2024/12/18 DarkReading — Microsoft Azure ベースのデータ統合サービスにおいて、オープンソースのワークフロー・オーケストレーション・プラットフォームを活用する際の方法に、３つの欠陥が発見された。この欠陥を悪用する攻撃者は、企業の Azure クラウド・インフラ管理権限を獲得し、データ流出／マルウェア展開／不正なデータ・アクセスなどを引き起こす可能性を手にする。

Continue reading “Azure Data Factory の脆弱性：Apache Airflow 統合における問題を掘り下げる”

Apache Airflow の脆弱性 CVE-2024-45784 が FIX：ログ内の機密データ流出の可能性

CVE-2024-45784: Apache Airflow Vulnerability Exposes Sensitive Data in Logs

2024/11/16 SecurityOnline — Apache Airflow に存在する脆弱性により、機密コンフィグ・データが誤って公開され、システム・セキュリティが侵害される可能性が生じている。この人気のワークフロー管理プラットフォームで発見された、脆弱性 CVE-2024-45784 (CVSS：7.5) は、Airflow バージョン 2.10.3 未満に影響を及ぼすものだ。この問題は、Airflow プラットフォームのデフォルトでは、タスク・ログ内の機密コンフィグ値をマスクできないことに起因している。

Continue reading “Apache Airflow の脆弱性 CVE-2024-45784 が FIX：ログ内の機密データ流出の可能性”

Apache Airflow の脆弱性 CVE-2024-39877 が FIX：RCE の恐れ

CVE-2024-39877: Apache Airflow Security Update Addresses Code Execution Vulnerability

2024/07/16 SecurityOnline — Apache が公開したのは、Airflow バージョン 2.4.0 ～ 2.9.2 に影響を及ぼす、RCE の脆弱性 CVE-2024-39877 に対処するためのセキュリティ・アップデートである。この脆弱性の悪用に成功した認証済みの DAG (Directed Acyclic Graph) 作成者は、スケジューラ・コンテキスト内での任意のコード実行を可能とし、Airflow 環境のセキュリティと完全性が損なわれる恐れがある。

Continue reading “Apache Airflow の脆弱性 CVE-2024-39877 が FIX：RCE の恐れ”