【缝隙公告】Apache Airflow DAG 反序列化远程代码执行缝隙(CVE-2026-33264)
颁布功夫 2026-07-08一、、缝隙概述
Apache Airflow是由Apache软件基金会守护的开源工作流编排与工作调度平台，，宽泛利用于数据工程、、数据分析、、机械学习和自动化工作治理场景。Airflow通过DAG（Directed Acyclic Graph，，有向无环图）界说工作流程，，支持工作调度、、依赖治理、、执行监控及扩大插件机制，，可与多种数据库、、云服务和数据处置平台集成。
2026年7月8日，，OG东方厅安全应急响应中心（VSRC）监测到Apache Airflow DAG反序列化远程代码执行缝隙。该缝隙位于BaseSerialization.deserialize()反序列化处置逻辑，，由于组件未限度import_string()对攻击者可控类蹊径的加载，，导致拥有DAG编写权限的用户可在序列化DAG中嵌入恶意触发逻辑。当Scheduler或API Server加载恶意DAG时，，攻击代码可能在高权限过程中执行，，突破Airflow原有的DAG作者代码隔离安全天堑，，进一步获取服务器节制权限、、窃取敏感数据或影响工作调度安全。
二、、影响领域
apache-airflow < 3.3.0
三、、安全措施
3.1 升级版本官方已颁布修复补�。�，以修复该缝隙。
apache-airflow >= 3.3.0
下载链接：：https://github.com/apache/airflow/releases/
3.2 一时措施
暂无。
3.3 通用建议
定期更新系统补�。�，削减系统缝隙，，提升服务器的安全性。
加强系统和网络的接见节制，，批改防火墙战术，，关闭非必要的利用端口或服务，，削减将危险服务（如SSH、、RDP等）露出到公网，，削减攻击面。
使用企业级安全产品，，提升企业的网络安全机能。
加强系统用户和权限治理，，启用多成分认证机制和最小权限准则，，用户和软件权限应维持在最低限度。
启用强密码战术并设置为定期批改。
3.4 参考链接
https://lists.apache.org/thread/otvdw8qt2y7xy2n5nq9xby9ky4rf5ltj/
https://nvd.nist.gov/vuln/detail/CVE-2026-33264
京公网安备11010802024551号