Apache Airflow 存在权限漏洞，可导致只读用户获取敏感信息

Apache Airflow 3.0.3曝出严重安全漏洞，向仅具有读取权限的用户泄露敏感连接信息。

该漏洞编号为CVE-2025-54831，严重级别为“重要”（Important），从根本上破坏了平台在工作流连接中处理敏感数据的预期安全模型。

Apache Airflow 3.0版本对连接中的敏感信息管理方式进行了重大更改，实施了“只写”（write-only）模型，旨在将敏感连接字段的访问权限独家限制给连接编辑用户（Connection Editing Users）。

这一安全增强措施旨在防止未授权访问Airflow连接中存储的关键认证详情、数据库凭证和API密钥。

然而，3.0.3版本的实现存在严重缺陷，直接逆转了这些安全改进。

该漏洞允许具有标准READ权限的用户通过Airflow API和Web用户界面访问敏感连接信息。

无论AIRFLOW__CORE__HIDE_SENSITIVE_VAR_CONN_FIELDS配置设置如何（该设置专门用于对未授权用户隐藏敏感连接详情），信息泄露都会发生。

这一漏洞使安全配置完全失效，给依赖Airflow访问控制的组织带来重大风险。

Apache安全分析师在观察到连接处理机制的异常行为后发现了该漏洞。

该缺陷专门影响Apache Airflow 3.0.3版本，而早期的Airflow 2.x版本不受影响——因为它们采用不同的连接处理协议，向连接编辑者公开敏感信息是其文档化的行为。

漏洞源于Airflow 3.0引入的连接访问控制系统实现不当。

当具有READ权限的用户通过/api/v1/connections/{connection_id}端点查询连接详情或通过Web UI访问连接界面时，系统会错误地返回应隐藏的敏感字段，包括密码、令牌和连接字符串。

{
  "connection_id": "postgres_default",
  "conn_type": "postgres",
  "host": "localhost",
  "login": "airflow",
  "password": "exposed_sensitive_data",
  "schema": "airflow",
  "port": 5432
}

使用Apache Airflow 3.0.3的组织应立即升级至3.0.4或更高版本，以修复此安全漏洞并恢复对敏感连接信息的正确访问控制。