文章总结： ApacheAirflow3.1.0至3.1.6版本存在授权缺陷CVE-2026-22922，已认证但权限受限的用户可绕过访问控制查看任务日志，可能泄露执行命令、参数等敏感信息。建议立即升级至3.1.7或更高版本，同时实施最小权限原则并启用日志审计监控异常访问行为。 综合评分： 78 文章分类： 漏洞预警,应用安全,安全运营,解决方案,漏洞分析

【高危漏洞预警】Apache Airflow认证绕过漏洞CVE-2026-22922

cexlife cexlife

飓风网络安全

2026年2月10日 13:44 北京

漏洞描述:

Aрасhе Airflоԝ 3.1.0至3.1.6版本包含一个授权缺陷可能导致已认证的用户（其自定义权限仅限于任务访问）在未具备任务日志访问权限的情况下查看任务日志

攻击场景:

攻击者可利用该漏洞通过已认证但权限受限的用户账户绕过系统对任务日志的访问控制查看本不应访问的任务执行日志,从而获取敏感信息（如执行命令、参数、环境变量等）

修复建议:

建议用户升级到Aрасhе Airflоԝ 3.1.7或更高版本以解决此问题

目前官方已有可更新版本,建议受影响用户升级至最新版本

建议措施:

立即升级Apache Airflow至3.1.7 或更高版本，以应用官方修复补丁

检查当前系统中是否存在使用 3.1.0–3.1.6 版本的实例，优先排查生产环境

对已认证用户实施最小权限原则，避免赋予不必要的任务日志查看权限

启用日志审计功能，监控异常的“任务日志访问”行为，识别潜在的权限滥用

若无法立即升级，建议通过配置文件限制日志访问接口的访问权限，或在网关层增加访问控制策略

参考链接:

https://lists.apache.org/thread/gdb7vffhpmrj5hp1j0oj1j13o4vmsq40

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：飓风网络安全 cexlife cexlife《【高危漏洞预警】Apache Airflow认证绕过漏洞CVE-2026-22922》