Vulnerabilidad en Apache Airflow Google provider de Apache Software Foundation (CVE-2026-68868)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

12/08/2026

Última modificación:

24/10/2026

Descripción

El backend de secretos de Google Cloud Secret Manager en el proveedor de Google de Apache Airflow nunca aplicó el alcance de equipo al resolver Conexiones y Variables: el ’team_name’ del llamador fue aceptado por el backend pero se descartó en el límite de la llamada interna, por lo que cada búsqueda se resolvió contra el nombre de secreto agnóstico al equipo. En una implementación que ejecuta el modo multi-equipo con este backend, una tarea o Dag perteneciente a un equipo resolvió la Conexión o Variable de otro equipo, obteniendo sus credenciales completas. No se requiere ninguna configuración inusual más allá de habilitar el modo multi-equipo y usar este backend. Se aconseja a los usuarios actualizar a apache-airflow-providers-google 22.3.0 o posterior, que construye y aplica el nombre de secreto con alcance de equipo.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno