CVE-2026-75158

Beschreibung

Apache Airflows API "/assets/events" hat Asset-Events für jeden Dag in der Bereitstellung zurückgegeben, ohne dass ein Filter sie auf die Dags beschränkt, die der Anrufer lesen darf. Jeder authentifizierte Benutzer mit Asset-Lesezugriff könnte daher Asset-Ereignisse - einschließlich der Quell-Dag-ID, Task-ID, Run-ID und Ereignis-Zeitstempel - für Dags aufzählen, die sie nicht sehen dürfen. Da der Filter auch in der Zählabfrage fehlte, offenbarten "total entries" und Paginierung die Existenz von versteckten Dags, auch ohne einzelne Zeilen zu inspizieren. Bereitstellungen sind betroffen, wenn per-Dag Zugriffskontrolle verwendet wird, um Teams oder Mandanten zu trennen; es ist keine spezielle Konfiguration erforderlich. Upgrade auf Apache-Airflow 3.3.2 oder höher.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation airflow.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.