Apache Airflow API 서버 XCom 역직렬화 취약점

작업 작성자가 워크플로 도구 서버에서 원하는 프로그램을 실행할 수 있습니다.

요약

Apache Airflow의 Task Execution API가 작업이 쓴 XCom 값을 예약 키 검사 없이 저장해서, Dag 작성자가 API 서버에서 airflow.* 클래스를 원하는 인자로 만들게 할 수 있습니다. 3.0.0부터 3.4.0 이전 버전이 해당하며, 3.3.1의 이전 수정만으로는 이 경로가 막히지 않습니다.

해당 조건

API에서 역직렬화가 켜져 있는 경우

대처법

apache-airflow 3.4.0 이상으로 업데이트하세요. 3.3.1의 이전 수정만으로는 이 경로가 막히지 않습니다.

대상 제품과 운영체제

Apache Airflow

CVE 번호

CVE-2026-111421 (새 탭에서 열림)

원문 링크

보안 공지: lists.apache.org (새 탭에서 열림)
CVE 기록: cve.org (새 탭에서 열림)
토론: CVE-2026-111421: Apache Airflow: Execution API: set_xcom이 예약 키 검사를 건너뛰어, 작업이 쓴 XCom이 API 서버에서 airflow.* 클래스를 인스턴스화함 (새 탭에서 열림)

시각

처음 게시 2026-11-09 16:22

처음 확인 2026-11-09 21:16