つみかさね

CVE-2026-67587

High(8.8)

Apache Airflow Task SDKのデシリアライズ経由コード実行 CVE-2026-67587：影響範囲と対応方法

公開日: 2026-09-17データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache Airflow (Task SDK)Apache修正版より前

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

  1. 1airflow version でバージョンを確認
  2. 2修正版へアップデートする
  3. 3アップデートが困難な場合はDAG作成者を信頼できる範囲に限定する

影響対象

Apache Airflow 運用者マルチテナントなDAG運用環境

対応不要な人

  • ✓Apache Airflow を使用していない
  • ✓DAG作成者を完全に信頼できる閉じた環境
  • ✓既に修正版へ更新済み

補足

  • -allowed_deserialization_classes の厳格化だけでは防げないため、更新を優先してください
CVEApache Airflowデシリアライズコード実行

30秒で判断

  • 対応すべき人: Apache Airflow を運用し、信頼しきれないDAG作成者が存在する環境の方
  • 対応不要な人: Airflow を使用していない、DAG作成者を完全に信頼できる閉じた環境、修正版へ更新済みの方
  • 確認コマンド: airflow version でバージョンを確認
  • クイックアクション: 修正版へアップデート

概要

Apache Airflow の Task SDK は、シリアライズデータから Callback オブジェクトを再構築する際にコンストラクタを再実行し、保存されたコールバックパスが指すモジュールを import します。SyncCallback は Airflow のクラスであるため既定の allowed_deserialization_classes 許可リストを通過してしまい、当該設定を厳格化しても防げません。DAG作成者はタスクインスタンスの next_kwargs を通じてこの経路を制御できるため、任意モジュールの読み込み＝コード実行 につながる可能性があります（CWE-502）。

CVSSスコアは 8.8（High） です。

CVSSベクトル

項目値
CVSSスコア8.8
深刻度High
CWECWE-502

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache Airflow (Task SDK)Apache修正版より前

修正バージョンと回避策

Apache のアドバイザリ（PR #70704）に従い、修正版へアップデートしてください。allowed_deserialization_classes の厳格化だけでは回避できない点に注意し、更新が難しい場合はDAG作成者を信頼できる範囲に限定するといった運用面の回避策を優先してください。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-67587
GitHub PRhttps://github.com/apache/airflow/pull/70704
Apache Mailing Listhttps://lists.apache.org/thread/o00ww4n69qojvsckb464dtwd2nhzy6t0

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-67587
GitHub PR:https://github.com/apache/airflow/pull/70704
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。