Apache Airflow: Unguarded import_string() of airflow_exc_ser / base_exc_ser exception nodes in BaseSerialization.deserialize enables DAG-author RCE on Scheduler / API Server

Apache Airflow's serialization layer reconstructed exception nodes by calling `import_string()` on a class name taken from the serialized blob and instantiating it with arguments from the same blob, with no restriction on what could be imported. An operator's `executor_config` reaches that branch, so a Dag author could place a value there that causes an arbitrary callable to be imported and invoked -- for example `subprocess.check_output`, or `builtins.eval` on the `builtins`-prefixed variant. The code runs in the **Scheduler**, which reconstructs serialized Dags in its normal loop with no request involved, and in the **API server**, on any authenticated read of the Dag such as `GET /api/v2/dags/{dag_id}/details`. Both are components the Airflow security model states must never execute Dag-author code, and both hold the metadata database credentials and the JWT signing secret. No non-default configuration is required. This is a **different sink from CVE-2026-33264**, which covered only the trigger branch of the same deserializer: deployments that upgraded in response to that advisory are still affected through the exception branch and must upgrade again. Users are advised to upgrade to apache-airflow 3.3.1 or later, which restricts the imported class to a subclass of `BaseException`.

Ein Angreifer kann mehrere Schwachstellen in Apache Airflow ausnutzen, um Sicherheitsvorkehrungen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 19 Aug 2026, published on 19 August 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

Apache Airflow 3.3.0では、ヒューマンインザループタスクがトリガーラーからスケジューラーによって監視される新しい `awaiting_input` タスク状態に移行されました。この変更により、タスクインスタンスの `next_kwargs` を許可リストなしで逆シリアライズするスイープが実行されます。そのため、タスク実行APIを通じてその値を制御できるDAG作成者は、スケジューラープロセス内で任意のモジュールをインポートしたり、オブジェクトをインスタンス化したり、スケジューラージョブを終了させることが可能です。非デフォルトの設定は不要で、このスイープは無条件に15秒ごとに実行されます。また、デフォルトの `allowed_deserialization_classes` 設定はこのコードパスをカバーしていません。3.3.0以前のバージョンは影響を受けません。なぜなら、ヒューマンインザループタスクはトリガーラーに遅延されていたからです。これはCVE-2026-58076とは異なるコードパスであり、そちらは保護されていない例外ノードの逆シリアライズに関するものです。その修正を適用した展開環境でも、この問題のためにアップグレードが必要となります。ユーザーにはapache-airflow 3.3.1以降へのアップグレードが推奨されます。

Apache AirflowのTask SDKは、シリアライズされたデータから`Callback`オブジェクトを再構築する際に、そのコンストラクタを再実行し、保存されたコールバックパスによって指定されたモジュールをインポートします。`SyncCallback`はAirflowのクラスであるため、デフォルトの`allowed_deserialization_classes`許可リストを通過し、この設定を厳しくしても効果がありません。Dagの作成者は、タスク実行APIを通じてタスクインスタンスの`next_kwargs`を制御できるため、スケジューラの`awaiting_input`タイムアウトスイープがその値をデシリアライズするときに、スケジューラプロセス内で任意のモジュールをインポートさせることが可能です。特別な非デフォルト設定は不要であり、このスイープは無条件に実行されます。バージョン3.3.0未満は影響を受けません。クラス自体は存在していましたが、それに到達するスケジューラスイープは存在しませんでした。本件は、異なるガジェットをデシリアライズに到達させるCVE-2026-58076およびCVE-2026-67260とは別のコードパスによるものであり、これらの修正を適用しても対処できません。ユーザーはapache-airflow 3.3.1以降へのアップグレードを推奨されています。

Apache Airflowのシリアライズレイヤーは、シリアライズされたデータから取得したクラス名に対して`import_string()`を呼び出し、同じデータから得られた引数でインスタンス化することで例外ノードを再構築していましたが、インポート可能な対象に制限がありませんでした。オペレーターの`executor_config`はその処理経路に達するため、DAG作成者は任意の呼び出し可能オブジェクトをインポートおよび実行させる値をそこに置くことが可能でした。例えば、`subprocess.check_output`や、`builtins`をプレフィックスとした`builtins.eval`などが挙げられます。このコードは、リクエストに関係なく通常のループでシリアライズされたDAGを再構築する**スケジューラー**と、認証されたDAG読み取り時（例：`GET /api/v2/dags/{dag_id}/details`）に実行される**APIサーバー**の両方で動作します。これらはいずれもAirflowのセキュリティモデルにおいてDAG作成者のコードを絶対に実行してはならないとされるコンポーネントであり、メタデータデータベースの認証情報およびJWT署名秘密鍵を保持しています。デフォルト以外の設定は不要です。これは、同じデシリアライザのトリガーブランチのみを対象とした**CVE-2026-33264とは異なる攻撃経路である**ことから、この勧告によりアップグレードを行ったデプロイメントでも例外ブランチを通じて依然として影響を受けるため、再度のアップグレードが必須です。ユーザーには、インポートされるクラスを`BaseException`のサブクラスに制限したapache-airflow 3.3.1以降へのアップグレードを推奨します。