Múltiples vulnerabilidades en versiones de Apache Airflow anteriores a la 3.1.6 podrían revelar credenciales de autenticación sensibles y secretos en registros y interfaces de usuario.

Ambos problemas surgen de una máscara inadecuada de datos sensibles durante operaciones de renderizado y registro, lo que podría comprometer credenciales de proxy y secretos de bases de datos en entornos de producción.

Fuga de credenciales de proxy en registros de tareas

La primera vulnerabilidad, CVE-2025-68675, afecta a todas las versiones de Apache Airflow anteriores a la 3.1.6. El fallo reside en cómo Airflow maneja las configuraciones de proxy dentro de los objetos Connection.

Las URLs de proxy suelen contener credenciales de autenticación incrustadas en el formato http://usuario:contraseña@host-proxy:puerto.

Sin embargo, los campos de proxy no estaban marcados como sensibles, lo que impedía que el sistema de enmascaramiento automático de Airflow ofuscara estas credenciales al renderizar o registrar conexiones durante la ejecución de tareas.

Esto crea un vector de exposición significativo, ya que los registros de tareas suelen ser accedidos por múltiples miembros del equipo, almacenados en sistemas de registro centralizados y archivados para fines de cumplimiento.

Un atacante o usuario no autorizado con acceso de lectura a los registros podría extraer credenciales de proxy y utilizarlas para interceptar o redirigir el tráfico de red de los flujos de trabajo afectados.

Las organizaciones que ejecutan tareas que utilizan conexiones con autenticación de proxy enfrentan un riesgo elevado de compromiso de credenciales.

Exposición de secretos en la interfaz de usuario

CVE-2025-68438 introduce una vía de exposición diferente pero igualmente problemática.

Cuando los campos de plantillas renderizadas superan el umbral configurado en [core] max_templated_field_length, el proceso de serialización utiliza una instancia de enmascaramiento de secretos que carece de los patrones mask_secret() registrados por el usuario.

Esto significa que los patrones de secretos registrados por el usuario no se aplican antes del truncamiento del campo y se muestran en la interfaz de usuario de Plantillas Renderizadas.

En consecuencia, valores sensibles almacenados en campos de plantillas, como claves de API, contraseñas de bases de datos o tokens cifrados, podrían aparecer en texto claro en la interfaz web.

La operación de truncamiento ocurre después de la serialización pero antes de completar el enmascaramiento, exponiendo partes de los secretos a cualquier usuario con acceso a la interfaz web de Airflow.

Ambas vulnerabilidades requieren autenticación en el entorno de Airflow, pero también representan amenazas internas y riesgos de movimiento lateral.

Las organizaciones con políticas estrictas de retención de registros enfrentan ventanas de exposición extendidas, ya que las credenciales filtradas pueden permanecer accesibles en registros archivados indefinidamente.

Apache Airflow 3.1.6 soluciona ambos problemas al designar correctamente los campos de proxy como sensibles y garantizar que los patrones de enmascaramiento registrados por el usuario se apliquen antes del truncamiento de plantillas.

Todos los usuarios afectados deben actualizar inmediatamente. Para entornos que no puedan actualizarse de inmediato, implementar controles de acceso restrictivos en los sistemas de registros y la interfaz web de Airflow proporciona una mitigación temporal.