Analytical use of cookies
CVE-2026-33264: Критична вразливість у Apache Airflow
Вразливість CVE-2026-33264 у Apache Airflow дозволяє виконувати довільний код. Оновіть до версії 3.3.0 та обмежте allowed_deserialization_classes.
- CVSS
- 9.8 CRITICAL
- EPSS
- 76.02%
- Активно використовується
- немає в KEV
- Продукт
- airflow
Що відомо
Вразливість у функції BaseSerialization.deserialize() Apache Airflow дозволяє зловмисникам виконувати довільний код на сервері API або планувальнику через шкідливі DAG. Це порушує безпекові межі, оскільки код авторів DAG не повинен виконуватись у цих процесах.
Бізнес-вплив
Ця критична вразливість (CVSS 9.8) може призвести до повного контролю над процесами API Server або Scheduler у Apache Airflow, що ставить під загрозу цілісність та доступність робочих процесів. Організації, що використовують Airflow для оркестрації даних, ризикують витоком даних або порушенням роботи сервісів.
Рекомендовані дії адміністратора
Рекомендується негайно оновити Apache Airflow до версії 3.3.0 або новішої. Для додаткового захисту обмежте параметр конфігурації [core] allowed_deserialization_classes до вузького списку довірених класів, особливо у середовищах з обмеженою довірою до авторів DAG. Перевірте журнали на наявність підозрілої активності та зменшіть мережевий доступ до серверів Airflow. DataHouse підтримує перевірку версій, управління патчами та аудит логів для підвищення безпеки інфраструктури.