【缝隙公告】Apache Airflow DAG 反序列化远程代码执行缝隙(CVE-2026-33264)
颁布功夫 2026-07-08一、缝隙概述
Apache Airflow是由Apache软件基金会守护的开源工作流编排与工作调度平台，宽泛利用于数据工程、数据分析、机械进建和自动化工作治理场景 。Airflow通过DAG（Directed Acyclic Graph，有向无环图）界说工作流程，支持工作调度、依赖治理、执行监控及扩大插件机造，可与多种数据库、云服务和数据处置平台集成 。
2026年7月8日，J9集团官网安全应急响应中心（VSRC）监测到Apache Airflow DAG反序列化远程代码执行缝隙 。该缝隙位于BaseSerialization.deserialize()反序列化处置逻辑，由于组件未限度import_string()对攻击者可控类蹊径的加载，导致拥有DAG编写权限的用户可在序列化DAG中嵌入恶意触发逻辑 。当Scheduler或API Server加载恶意DAG时，攻击代码可能在高权限过程中执行，突破Airflow原有的DAG作者代码隔离安全天堑，进一步获取服务器节造权限、窃取敏感数据或影响工作调度安全 。
二、影响领域
apache-airflow < 3.3.0
三、安全措施
3.1 升级版本官方已颁布建复补丁，以建复该缝隙 。
apache-airflow >= 3.3.0
下载链接：https://github.com/apache/airflow/releases/
3.2 一时措施
暂无 。
3.3 通用建议
定期更新系统补丁，削减系统缝隙，提升服务器的安全性 。
加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面 。
使用企业级安全产品，提升企业的网络安全机能 。
加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度 。
启用强密码战术并设置为定期批改 。
3.4 参考链接
https://lists.apache.org/thread/otvdw8qt2y7xy2n5nq9xby9ky4rf5ltj/
https://nvd.nist.gov/vuln/detail/CVE-2026-33264
京公网安备11010802024551号