近日，Apache Airflow 官方发布安全公告，确认其 2.10.3 版本中存在一个影响调度器稳定性的关键漏洞。该漏洞源于 Airflow 在 XCom 反序列化过程中，对自定义 str 子类处理不当，导致调度器（Scheduler）进程崩溃，进而可能引发整个工作流执行链的中断。目前，官方已推出修复补丁，并建议用户尽快升级。
漏洞背景：XCom 机制与序列化风险
Apache Airflow 是业界广泛使用的工作流调度平台，其核心机制之一便是 XCom（Cross-Communication），允许任务之间通过键值对形式传递小规模数据。XCom 数据通常以 JSON 或 pickle 格式序列化存储于元数据库，并在下游任务启动时反序列化还原。这种设计为动态工作流提供了灵活性，但也带来了序列化相关的安全隐患。
在 Airflow 2.10.3 中，当用户自定义一个继承自 Python str 的子类（例如 class MyString(str): pass），并将其通过 XCom 推送时，调度器在反序列化该对象时会尝试解析其类型信息。由于 Airflow 的默认序列化器未能正确处理这种自定义子类，导致反序列化过程中出现类型不匹配异常，最终使得调度器主循环崩溃。调度器一旦崩溃，所有正在运行的任务和待处理的工作流将立即终止，且无法自动恢复。
漏洞细节：触发条件与影响范围
经技术团队复现，该漏洞的触发条件较为明确：只要任意 DAG 的某个任务通过 XCom 推送了一个自定义 str 子类的实例，下游任务或调度器本身在读取该 XCom 时就会崩溃。例如，用户可能出于业务需要定义了 class StatusCode(str): pass 并推送，那么调度器在处理该 XCom 键时便会异常退出。
值得注意的是，该漏洞影响所有使用 Airflow 2.10.3 的生产环境，无论底层数据库是 PostgreSQL、MySQL 还是 SQLite。受影响的组件包括 Scheduler、Triggerer 以及 Worker 进程中的部分 XCom 处理逻辑。不过，由于调度器是 Airflow 的核心控制单元，其崩溃的破坏性远大于 worker 进程的异常，可能导致整个系统无法继续分配新任务。
安全研究人员指出，该漏洞的 CVSS 评分暂未公布，但根据影响性质可归类为“高可用性影响”漏洞。尽管不直接涉及数据泄露或远程代码执行，但调度器频繁崩溃会严重扰乱业务流程，给依赖 Airflow 进行数据管道调度的企业带来运维危机。
修复方案与临时措施
Apache Airflow 社区已在 2.10.4 版本中修复该问题。修复方式为：在序列化/反序列化过程中增加了对 str 子类的类型检测，当遇到自定义子类时，将其降级为普通字符串处理，从而避免解析异常。用户可通过以下命令升级：
pip install apache-airflow==2.10.4
对于无法立即升级的用户，官方建议采取临时规避措施：在推送 XCom 之前，将自定义 str 子类显式转换为原生字符串（例如 str(my_custom_string)），并避免在 XCom 中传递任何自定义类型。此外，可以配置 Airflow 使用更严格的序列化后端（如 JSON），并禁用 pickle 支持，但需注意 JSON 可能无法完整保留对象信息。
行业提醒：序列化安全不容忽视
此次漏洞再次凸显了序列化机制在现代调度系统中的脆弱性。类似问题在 Celery、Spark 等框架中亦曾出现。Airflow 用户应建立定期检查序列化依赖的习惯，所有自定义类型在通过 XCom 传递前，都应明确评估其序列化兼容性。同时，建议企业将调度器进程纳入高可用监控体系，例如通过 systemd 自动重启或 Kubernetes 自愈机制，降低单点故障影响。
截至发稿时，Apache Airflow 官方尚未将此漏洞标记为 CVE，但社区已在 GitHub 及相关邮件列表积极讨论。安全专家建议，运行 Airflow 2.10.3 的团队应优先将升级至 2.10.4 纳入紧急运维计划，避免因调度器崩溃导致生产事故。
（完）