一、 漏洞 CVE-2025-68675 基础信息
漏洞信息
# Apache Airflow 代理凭证泄露漏洞
## 概述
Apache Airflow 在 3.1.6 之前版本中，Connection 的 proxies 和 proxy 字段若包含嵌入式认证信息（如用户名和密码），未被默认视为敏感信息，导致其在日志输出中未被自动脱敏。
## 影响版本
Apache Airflow < 3.1.6
## 细节
- Connection 对象中的 `proxies` 和 `proxy` 字段支持传入包含认证信息的代理 URL（例如：`http://user:pass@proxy.example.com`）。
- 此类字段未被 Airflow 默认标记为敏感字段。
- 当 Connection 被渲染或输出到日志时，嵌入的代理凭证会以明文形式暴露。
## 影响
攻击者可能通过访问日志获取代理服务器的认证凭据，导致敏感信息泄露，进一步引发横向移动或权限提升风险。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Apache Airflow: proxy credentials for various providers might leak in task logs
来源：美国国家漏洞数据库 NVD
漏洞描述信息
In Apache Airflow versions before 3.1.6, the proxies and proxy fields within a Connection may include proxy URLs containing embedded authentication information. These fields were not treated as sensitive by default and therefore were not automatically masked in log output. As a result, when such connections are rendered or printed to logs, proxy credentials embedded in these fields could be exposed. Users are recommended to upgrade to 3.1.6 or later, which fixes this issue
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
通过日志文件的信息暴露
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-68675 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-68675 的情报信息
标题： CVE-2025-68675: Apache Airflow: proxy credentials for various providers might leak in task logs-Apache Mail Archives -- 🔗来源链接
标签：vendor-advisory
神龙速读：## 关键信息 - **CVE编号**: CVE-2025-68675 - **漏洞描述**: Apache Airflow: proxy credentials for various providers might leak in task logs - **漏洞严重性**: 低 - **受影响版本**: Apache Airflow (apache-airflow) before 3.1.6 - **漏洞描述详情**: - Apache Airflow 在 3.1.6 以前的版本中，连接中的代理服务器及代理字段可能包含嵌入了身份验证信息的代理 URL。这些字段默认未被视为敏感信息，因此未在日志输出中自动隐藏。因此，当这些连接被渲染或打印到日志中时，嵌入在这些字段中的代理凭证可能会被暴露。 - **修复建议**: 推荐用户升级到 3.1.6 或更高版本。 - **贡献者**: - Iwlkr https://github.com/kwkr (finder) - Ankit Chaurasia (remediation developer) - **参考资料**: - https://airflow.apache.org/ - https://www.cve.org/CVERecord?id=CVE-2025-68675
- https://nvd.nist.gov/vuln/detail/CVE-2025-68675
四、漏洞 CVE-2025-68675 的评论
暂无评论