CVE-2026-40861 Apache Airflowのシンボリックリンク・パストラバーサル脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Apache Airflowの脆弱性により、タスクログディレクトリにシンボリックリンクを設置し、APIサーバーが読み取り可能な任意のファイル（例：/etc/passwd）にアクセスできる可能性があります。また、タスクIDに「..」を含む場合、ログパスを設定されたbase_log_folderの外に解決し、任意のファイルの上書きや漏洩が発生する恐れがあります。この問題は、ワーカーとAPIサーバーが共通のログフォルダを使用している環境に限定して影響を与えます。確認時は、現在の環境が共有ログ構成になっていないかを確認し、パッチ適用（3.2.2以降へのアップグレード）を検討してください。防御策として、ワーカーとAPIサーバーを分離したログボリュームで運用することも推奨されています。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えると、私たちの行動は常に「共有」や「分離」の選択に直面しているように思われる。この問題では、ログフォルダの共有がリスクの源である。だが、なぜ共有する必要があるのか？また、分離することで何が変わるのか？
おっしゃる通りですソクラテス。まず、現場の運用者が確認すべき第一歩は、現在の環境が「共有ログ構成」になっていないかを確認することです。たとえば、ワーカーとAPIサーバーのログボリュームが同一のマウントポイントに配置されていないか、`base_log_folder`の設定が共通しているかを、`airflow.cfg`で確認してください。
では、もし共有構成である場合、どのような影響が予想されるのか？
CVEの説明によると、攻撃者はシンボリックリンクを設置して、APIサーバーが読み取り可能なファイルにアクセスできる可能性があります。また、タスクIDに「..」を含めることで、`base_log_folder`の外にログパスを解決し、ファイルの上書きや漏洩が起こる恐れがあります。このため、パッチ適用（3.2.2以降へのアップグレード）を検討する必要があります。
だが、パッチ適用だけでなく、変更管理や監視の観点も重要ではないか？
その通りです。パッチ適用後は、変更管理プロセスで「ログボリュームの分離」が実施されているかを再確認し、監視ログに異常なファイル操作がないかをチェックする必要があります。また、ベンダーの公式ドキュメント（Apache Airflowのリリースノート）で、3.2.2以降のアップグレード手順を確認し、依存関係の変化に備えることが重要です。
では、この脆弱性に対する「防御策」は、哲学的な「分離」の原則に合致していると言えるか？
はい。ソクラテスの言葉のように、分離はリスクを最小化する「知の探求」です。ただし、現場では「分離」を実現するための具体的なステップ——たとえば、DockerコンテナやKubernetesのPersistentVolumeでワーカーとAPIサーバーのログボリュームを分離する——を実施する必要があります。
最後に、運用者がこの脆弱性を「見過ごさない」ために、何を意識すべきだろう？
CVSSの6.5という中程度の深刻度に惑わされず、現状の運用構成を定期的に見直す習慣をつけることですね。たとえば、「共有ログ構成」がなぜ必要なのかを再考し、必要であればセキュリティを優先した設計に変更する。これは、哲学的な「自省」そのものです。
関連キーワード: apache