CVE-2026-33264: zdalne wykonanie kodu przez deserializację DAG w Apache Airflow (CVSS 9.8)

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-33264
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-07-07
Producent	Apache
Produkt	Airflow
CVSS Score	9.8 (Krytyczny)
EPSS Score	0.7% (percentyl: 48%)
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

Błąd w metodzie BaseSerialization.deserialize() pozwalał na nieograniczone wywołanie import_string() dla ścieżek klas kontrolowanych przez atakującego podczas wczytywania zserializowanego DAG-a przez Scheduler lub API Server. Autor DAG-a mógł osadzić w nim złośliwy trigger, aby uzyskać zdalne wykonanie kodu w procesie API Servera lub Schedulera, przekraczając granicę bezpieczeństwa Airflow, zgodnie z którą kod autora DAG-a nigdy nie powinien wykonywać się w tych procesach. Zalecana jest aktualizacja apache-airflow do wersji 3.3.0 lub nowszej.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta niezwłocznie po ich udostępnieniu.

Kogo dotyczy?

Podatność dotyczy produktu Airflow firmy Apache. Sprawdź, czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła

• NVD - CVE-2026-33264

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.