🇰🇷 한글 설명
Apache Airflow의 Akeyless 프로바이더에서 팀 범위 가드(team-scope guard)를 우회할 수 있는 취약점이 발견되었습니다. 공격자가 경로 구분자가 포함된 변수 키를 입력하면, 다른 팀의 비밀 정보를 조회할 수 있는 경로로 변환되어 권한을 초과하는 데이터 접근이 가능해집니다.
💡 쉬운 설명
여러 팀이 함께 사용하는 시스템에서, 특정 팀의 사용자가 경로 조작을 통해 다른 팀의 비밀번호나 보안 키를 몰래 훔쳐볼 수 있는 문제입니다. 이는 검증되지 않은 입력값이 보안 경계를 무너뜨리기 때문에 발생합니다.
🇺🇸 원문 (English)
Apache Airflow Akeyless provider: the Akeyless secrets backend's team-scope guard can be bypassed with a user-controlled key. In a multi-team deployment, a Dag author scoped to one team can supply a Variable key containing a path separator that causes the backend to resolve a secret belonging to a different team, because the lookup path is concatenated from an unvalidated key after the team-scoped lookup misses. The Execution API Variables route accepts a path-shaped key, so this is reachable from ordinary Dag code.
Affects multi-team deployments using the Akeyless secrets backend. Single-team deployments are not affected, as there is no cross-team boundary to cross. This is the same class as CVE-2026-68870, CVE-2026-68871 and CVE-2026-68872 in the Azure Key Vault, Yandex Lockbox and Amazon secrets backends.
Users of apache-airflow-providers-akeyless are recommended to upgrade to version 0.3.1 or later, which fixes the issue.
📍 영향받는 시스템
Apache Airflow Akeyless provider (apache-airflow-providers-akeyless) 0.3.1 미만 버전
⚔️ 공격 벡터
Dag 코드 내에서 경로 구분자(path separator)가 포함된 변수 키를 입력하여 다른 팀의 비밀 경로로 접근
🛡️ 대응 방법
apache-airflow-providers-akeyless 패키지를 0.3.1 버전 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 0.3.1보다 낮은지 확인하여 취약 여부를 판단합니다.
pip show apache-airflow-providers-akeyless | grep Version