CVE-2026-82337— Apache Airflow 远程代码执行漏洞
一分钟漏洞结论
影响对象
Apache Software Foundation Apache Airflow
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Apache Airflow 通过通用反序列化机制重建了“截止时间警报”（deadline alert）字段，该机制会在调度器（scheduler）和 API 服务器中导入并实例化序列化 DAG 中指定的类。DAG 作者可利用此机制，在 Airflow 的反序列化白名单范围内，以可控参数在相关进程中构造任意类。所有使用了截止时间警报功能的 DAG 部署均受此影响。 此问题是对 CVE-2026-45360 的不完整修复，该修复仅加固了 字段；已应用该修复的部署仍可通过 和 字段受到攻击。 建议所有 Apache A
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-82337 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Apache Airflow: DeadlineAlert fields bypass plugin-registration gate for scheduler-side deserialization
来源: CVE Program / CVE List V5
Vulnerability Description
Apache Airflow rebuilt deadline alert fields through generic deserialization, which imports and instantiates the class named in the serialized Dag, in the scheduler and API server. A Dag author could cause classes within Airflow's deserialization allow list to be constructed in those processes with arguments they control. Deployments whose Dags use deadline alerts are affected.
This is an incomplete fix of CVE-2026-45360, which only hardened the `reference` field; deployments that applied that fix remain affected through the `callback` and `interval` fields.
Users of apache-airflow are recommended to upgrade to 3.4.0 or later.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
可信数据的反序列化
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Apache Software Foundation | Apache Airflow | 0 ~ 3.4.0 | - |
|
二、漏洞 CVE-2026-82337 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-82337 的情报信息
请登录查看更多情报信息。
CVE-2026-82337 其他参考 (4)
同批安全公告 · Apache Software Foundation · 2026-11-09 · 共 26 条
| CVE-2026-86829 | Apache Airflow 反序列化漏洞 | |
| CVE-2026-111455 | Apache Airflow Connections API 竞态条件漏洞 | |
| CVE-2026-111454 | Apache Airflow 资产端点未授权读取 DAG 信息漏洞 | |
| CVE-2026-111453 | Apache Airflow 资产事件删除越权漏洞 | |
| CVE-2026-111452 | Apache Airflow 敏感字段信息泄露漏洞 | |
| CVE-2026-111421 | Apache Airflow 远程代码执行漏洞 | |
| CVE-2026-111395 | Apache Airflow 序列化键导致调度器崩溃漏洞 | |
| CVE-2026-107474 | Apache Airflow Connections API 配置明文泄露漏洞 | |
| CVE-2026-113504 | Apache Airflow 密钥掩码深度限制导致明文泄露 | |
| CVE-2026-101031 | Apache Airflow 远程命令注入漏洞 | |
| CVE-2026-113508 | Apache Airflow 注销令牌撤销失败漏洞 | |
| CVE-2026-96285 | Apache Airflow Scheduler 反序列化远程代码执行漏洞 | |
| CVE-2026-86468 | Apache Airflow 审计日志凭据泄露漏洞 | |
| CVE-2026-123753 | Apache Axis2 服务端请求伪造漏洞 | |
| CVE-2026-76185 | Apache Airflow 跨团队密钥泄露漏洞 | |
| CVE-2026-68982 | Apache Airflow CeleryExecutor 远程代码执行漏洞 | |
| CVE-2026-50204 | Apache Airflow 审计日志明文泄露漏洞 | |
| CVE-2026-40913 | Apache Airflow 未授权DAG堆栈跟踪泄露漏洞 | |
| CVE-2026-82440 | Apache Storm Nimbus 反序列化漏洞 | |
| CVE-2026-82436 | Apache Storm 客户端状态存储反序列化漏洞 |
显示前 20 条，共 26 条。 查看全部 → →