关于Apache Airflow DAG反序列化远程代码执行漏洞（CVE-2026-33264）的预警提示

一、漏洞详情

Apache Airflow是由Apache软件基金会维护的开源工作流编排与任务调度平台，广泛应用于数据工程、数据分析、机器学习和自动化任务管理场景。

近日，监测到Apache Airflow DAG反序列化远程代码执行漏洞。该漏洞位于BaseSerialization.deserialize()反序列化处理逻辑，由于组件未限制import_string()对攻击者可控类路径的加载，导致具有DAG编写权限的用户可在序列化DAG中嵌入恶意触发逻辑。当Scheduler或API Server加载恶意DAG时，攻击代码可能在高权限进程中执行，突破Airflow原有的DAG作者代码隔离安全边界，进一步获取服务器控制权限、窃取敏感数据或影响任务调度安全。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

apache-airflow < 3.3.0

三、修复建议

官方已发布安全补丁，请及时更新至安全版本。

apache-airflow >= 3.3.0