CVE-2026-41017 Apache Airflow JWTクッキーSecureフラグ未設定による漏洩脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Apache Airflowの`JWTRefreshMiddleware`がセキュリティフラグ`Secure`を設定せずにJWT認証クッキーを送信する不具合により、HTTPS終了リバースプロキシ（例：nginx）の背後でAirflow APIサーバーを運用している環境では、クッキーがHTTP経由で漏洩する可能性があります。ネットワーク上に位置する攻撃者がユーザーのブラウザにHTTPリクエストを誘導し、JWTを取得・再利用できるため、認証を偽装されるリスクがあります。影響を受けるのは、TLS終了プロキシ経由でAirflow APIにアクセスし、クッキーのセキュリティ保護がセッション整合性に依存するケースです。`apache-airflow`を3.2.2以降にアップグレードし、プロキシ設定が適切にHTTPSを強制しているかを確認することが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について、我々は「セキュリティの責任」を誰に帰属すべきだと考えるべきだろう？もしプロキシがセキュリティを担保する仕組みに依存しているのだとしたら、その設計思想はどこに誤りを犯したのか？
ああ、ソクラテス。まずは現実に目を向けるべきだろう。我々の環境では、Airflowがプロキシの背後にあるかを確認する必要がある。もし「Secureフラグ」が設定されていないなら、クッキーがHTTP経由で漏洩するリスクがある。つまり、管理者は「プロキシがHTTPSを強制しているか」を設定ファイルで確認するべきだ。
では、その確認は具体的にどう行う？例えば、`nginx`の設定で`proxy_set_header`が`X-Forwarded-Proto https`に設定されていないと、Airflowが自身でHTTPSを検出できないのではないだろうか？
その通り。また、`apache-airflow`のバージョンが3.2.2未満なら、パッチ適用が最優先だ。アップグレード後も、プロキシの設定が本当にHTTPSを強制しているか、`curl -I http://ホスト名`でHTTPリクエストを送って確認するべきだ。
では、この脆弱性の影響を受ける環境は、セキュリティ設計の「依存関係」に問題があるのではないのか？もしプロキシがセッション整合性を担っているのなら、その設計は「不完全な信頼」を生んでいる。
その通りだが、現実的には「変更管理」が重要だ。パッチ適用後、監視システムで`Secure`フラグが正しく設定されているかをログで確認する仕組みを構築すべきだ。また、ベンダーの公式ドキュメントで「3.2.2以降のバージョン」が推奨されているかを再確認することも忘れてはならない。
では、我々の議論は「抽象的な倫理」ではなく、「具体的な確認作業」に帰結する。もし管理者が「セキュリティの責任」をプロキシに委ねているのなら、その設計の妥当性を常に問い直す必要がある。
はい、でもコーヒーを飲みながらパッチを適用する時間もあるでしょう。ただ、そのコーヒーがHTTPSで送信されているか、確認するのを忘れてはなりません。
関連キーワード: apache, nginx