つみかさね

CVE-2026-58076

High(8.8)

Apache Airflowのデシリアライズ経由コード実行 CVE-2026-58076：影響範囲と対応方法

公開日: 2026-09-17データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache AirflowApache修正版より前

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

  1. 1airflow version でバージョンを確認
  2. 2修正版へアップデートする
  3. 3アップデートが困難な場合はDAG作成者を信頼できる範囲に限定する

影響対象

Apache Airflow 運用者マルチテナントなDAG運用環境

対応不要な人

  • ✓Apache Airflow を使用していない
  • ✓DAG作成者を完全に信頼できる閉じた環境
  • ✓既に修正版へ更新済み

補足

  • -DAG作成権限を広く付与している環境ほど優先度が高い
CVEApache Airflowデシリアライズコード実行

30秒で判断

  • 対応すべき人: Apache Airflow を運用し、信頼しきれないDAG作成者が存在する環境の方
  • 対応不要な人: Airflow を使用していない、DAG作成者を完全に信頼できる閉じた環境、修正版へ更新済みの方
  • 確認コマンド: airflow version でバージョンを確認
  • クイックアクション: 修正版へアップデート

概要

Apache Airflow のシリアライズ層は、シリアライズされたデータ中のクラス名をもとに import_string() を呼び出し、同じデータ内の引数でインスタンス化していました。読み込めるモジュールに制限がなく、オペレーターの executor_config がこの経路に到達するため、DAG作成者が任意の呼び出し可能オブジェクトを読み込ませて実行 できる可能性があります（CWE-502: 信頼できないデータのデシリアライズ）。

CVSSスコアは 8.8（High） です。

CVSSベクトル

項目値
CVSSスコア8.8
深刻度High
CWECWE-502

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache AirflowApache修正版より前

修正バージョンと回避策

Apache のアドバイザリ（PR #68511）に従い、修正版へアップデートしてください。更新が難しい場合は、DAG作成者を信頼できる範囲に限定する、executor_config の利用を制限するといった運用面の回避策を優先してください。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-58076
GitHub PRhttps://github.com/apache/airflow/pull/68511
Apache Mailing Listhttps://lists.apache.org/thread/t81p688t15jozxsng8521o60nh2kfsos

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-58076
GitHub PR:https://github.com/apache/airflow/pull/68511
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。