Vulnerabilidad en Apache Airflow de Apache Software Foundation (CVE-2026-49267)

El EmailOperator de Apache Airflow y las funciones auxiliares subyacentes &amp;#39;airflow.utils.email&amp;#39; establecían conexiones SMTP STARTTLS sin verificar el certificado remoto cuando la implementación utilizaba &amp;#39;[email] smtp_starttls=True&amp;#39; sin &amp;#39;[email] smtp_ssl&amp;#39;. Un atacante posicionado entre el worker y el servidor SMTP configurado (MitM de red - superficie de ataque típica de red hostil para entornos donde el relé SMTP se encuentra fuera del límite de confianza del worker) podría presentar un certificado autofirmado, hacer que el worker completara el handshake STARTTLS silenciosamente, y capturar las credenciales SMTP AUTH y el contenido del mensaje que el worker reenviaba.<br /> <br /> Este CVE cubre el lado central de apache-airflow de la misma causa raíz ya cubierta para el proveedor SMTP por &amp;#39;CVE-2026-41016&amp;#39; (publicado el 27-04-2026, cubriendo &amp;#39;apache-airflow-providers-smtp&amp;#39;). Los usuarios que ya aplicaron la corrección del proveedor SMTP de CVE-2026-41016 deberían actualizar adicionalmente &amp;#39;apache-airflow&amp;#39; a 3.2.2 o posterior para cubrir la ruta del lado central a través de &amp;#39;airflow.utils.email&amp;#39;. Afecta a las implementaciones configuradas con &amp;#39;smtp_starttls=True&amp;#39; y &amp;#39;smtp_ssl=False&amp;#39; donde el relé SMTP es accesible a través de un segmento de red menos confiable que el worker.<br /> <br /> Se aconseja a los usuarios actualizar a &amp;#39;apache-airflow&amp;#39; 3.2.2 o posterior.