Betroffene Einrichtungen
Bereich
Eine Schwachstelle in Apache Airflow ermöglicht es einem DAG-Autor, über manipulierte Serialisierungspfade beliebigen Code auf dem Airflow Scheduler oder API-Server auszuführen und damit die Sicherheitsgrenze zwischen DAG-Code und Serverinfrastruktur zu umgehen. In Krankenhäusern wird Airflow teils zur Orchestrierung von Datenpipelines (z. B. HL7-Integrationen, ETL für KIS/LIS) eingesetzt, weshalb kritische Patientendaten und Backend-Systeme gefährdet sein können. Ein sofortiges Update auf Version 3.3.0 ist dringend erforderlich.
1 Apache Airflow sofort auf Version 3.3.0 oder höher aktualisieren – kein Workaround ist ausreichend bei CVSS 9.8.
2. Bis zum Patch: In der Airflow-Konfiguration unter [core] den Parameter 'allowed_deserialization_classes' auf ein Minimum sicherer Klassen einschränken.
3. Prüfen, ob Airflow im eigenen Rechenzentrum oder als Cloud-Dienst betrieben wird – bei SaaS-Nutzung Anbieter umgehend kontaktieren und Patch-Status erfragen.
4. Airflow-Logs auf verdächtige import_string()-Aufrufe oder unbekannte DAG-Quellen untersuchen, um mögliche Kompromittierung des Schedulers/API-Servers zu erkennen.
5. Zugang zur DAG-Entwicklung (DAG-Authoring) auf vertrauenswürdige Personen beschränken und DAG-Uploads nur aus gesicherten Quellen zulassen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja