🇰🇷 한글 설명
Apache Airflow의 secrets masker가 리스트, 튜플, 세트 내부에 깊게 중첩된 값을 제대로 마스킹하지 못하는 취약점입니다. 이로 인해 민감한 정보가 포함된 변수가 UI상에서 마스킹되지 않고 노출될 수 있습니다. 다만, 이는 UI를 통한 시각적 노출 문제이며 API를 통한 접근 권한이 있는 사용자는 이미 값을 읽을 수 있는 상태입니다.
💡 쉬운 설명
중요한 비밀번호가 들어있는 데이터가 복잡한 구조(리스트 등) 안에 숨겨져 있을 때, 화면에서 별표(*)로 가려지지 않고 그대로 보이는 문제입니다. 화면을 옆에서 보는 사람에게 비밀번호가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Apache Airflow's secrets masker hides values stored under sensitive key names when they are displayed in the UI. The masker's recursion-depth limit did not descend into values nested inside a list, tuple, or set beyond that limit, so an Airflow Variable holding such a deeply-nested value was shown unmasked in the Variables UI. The exposure is limited to the UI: any authenticated user who can see the Variable in the UI can already read its full value through the Variables REST API, so this does not disclose data the user could not otherwise obtain — the masking is a shoulder-surfing defense for the UI, not an access-control boundary.
This is an incomplete-fix follow-up to CVE-2026-42358, whose fix made only the dictionary walk unbounded; lists, tuples, and sets beyond the depth limit remained unmasked in the UI. Deployments that applied the CVE-2026-42358 fix should also upgrade to address this residual case. Upgrade to apache-airflow 3.3.1 or later.
📍 영향받는 시스템
Apache Airflow 3.3.1 미만 버전 (CVE-2026-42358 패치 적용 버전 포함)
⚔️ 공격 벡터
UI 권한을 가진 사용자가 깊게 중첩된 구조를 가진 변수를 조회하여 마스킹되지 않은 민감 정보를 확인
🛡️ 대응 방법
Apache Airflow를 3.3.1 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 3.3.1보다 낮은지 확인하여 취약 여부를 판단합니다.
pip show apache-airflow | grep Version