CVE-2026-111421

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
Apache Airflow	Apache Software Foundation	< 3.4.0 (CVE-2026-59242 の修正適用済み 3.3.1 系を含む)

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

1Airflowのバージョンを確認する
2apache-airflow 3.4.0以降へアップデートする
3アップデートが困難な場合はTask Execution APIの逆シリアル化設定を無効化し、Dag作成権限を信頼できるユーザーに限定する

影響対象

Apache Airflow運用者

対応不要な人

✓Apache Airflowを使用していない
✓既にapache-airflow 3.4.0以降を使用している

補足

-CVE-2026-59242の修正(3.3.1)を適用済みでも本問題は解消されていません

30秒で判断

対応すべき人: Apache Airflowを運用しており、以前CVE-2026-59242の修正でapache-airflow 3.3.1を適用した方
対応不要な人: Apache Airflowを使用していない方、既にapache-airflow 3.4.0以降を使用している方
確認コマンド:
```
airflow version
```

概要

Apache AirflowはワークフローのオーケストレーションツールとしてCI/CDやデータパイプライン構築に広く使われています。Task Execution APIでは、タスク間でデータを受け渡すXCom（Cross-Communication）という仕組みがありますが、タスクが書き込んだXCom値に対して、他の箇所で行われている予約キーのチェックが適用されていませんでした。

この結果、Dag（ワークフロー定義）の作成者が書き込んだXComを、逆シリアル化を有効にした状態でユーザーがAPI経由で後から参照すると、airflow.* 名前空間のクラスをDag作成者が指定した引数でインスタンス化されてしまう状態になっていました。これは以前のCVE-2026-59242に対する修正が不完全だったことによるもので、apache-airflow 3.3.1で該当修正を適用済みの環境も、このルートでは影響を受け続けます。

CVSSベクトル

項目	内容
CVSSスコア	8.8 (High)
CVSSバージョン	3.1
攻撃元	ネットワーク経由（Task Execution API）
前提条件	Dag作成権限を持つユーザーによるXCom書き込み、かつ逆シリアル化が有効な設定
影響	サーバー側でのオブジェクトインスタンス化による不正な動作

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
Apache Airflow	Apache Software Foundation	CVE-2026-59242 の修正を適用済みの apache-airflow 3.3.1 系を含む、3.4.0 未満のバージョン

修正バージョンと回避策

apache-airflow 3.4.0以降で修正されています。CVE-2026-59242に対する以前の修正（3.3.1）を適用済みの環境でも、このルートの問題は解消されていないため、3.4.0以降へのアップデートを推奨します。アップデートが難しい場合は、Task Execution APIでの逆シリアル化設定を無効化する、またはDag作成権限を信頼できるユーザーのみに限定することが回避策として考えられます。

影響を受けるソフトウェア

対応ガイド

推奨アクション

影響対象

対応不要な人

補足

30秒で判断

概要

CVSSベクトル

影響を受けるソフトウェア

修正バージョンと回避策

関連リンク

関連する脆弱性

参考リンク