Критична вразливість у Apache Airflow дозволяє користувачам з правами лише на читання доступатися до чутливої інформації.

Проблема, виявлена 27 вересня 2025 року, пов’язана з неправильними контролями доступу в функціях DAG (Directed Acyclic Graph). Це дає змогу неавторизованим користувачам переглядати конфігураційні секрети, облікові дані та інші конфіденційні дані, що може призвести до витоків або подальших атак. Зловмисники можуть експлуатувати цю ваду для крадіжки API-ключів, паролів чи баз даних, особливо в хмарних середовищах, де Airflow використовується для автоматизації workflow.

Вразливість має високий рейтинг CVSS, і її експлуатація не вимагає високих привілеїв, роблячи її доступною для внутрішніх загроз. Організації, що покладаються на Airflow для даних аналітики чи ETL-процесів, ризикують компрометацією. Імплікації включають порушення комплаєнсу (GDPR, HIPAA), фінансові втрати від штрафів та репутаційні збитки.

Рекомендації: оновіть Airflow до останньої версії, перегляньте права доступу, впровадіть принцип найменших привілеїв, проводьте регулярні аудити. Це підкреслює необхідність посиленого моніторингу відкритих інструментів.