CVE-2026-75156
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Dostawca Apache Airflow FAB w wersjach od 3.7.3 do 3.8.0 nie weryfikuje wystawcy ani odbiorcy tokenów `id_token` Azure AD podczas logowania OAuth. Wdrożenia są zagrożone tylko wtedy, gdy menedżer uwierzytelniania FAB jest skonfigurowany z Azure AD jako dostawcą OAuth. Ponieważ klucze podpisujące są pobierane z wielodostępowego punktu końcowego JWKS Microsoftu, token `id_token` wybity w dowolnej dzierżawie Azure — w tym takiej, którą atakujący sam utworzy — przechodzi weryfikację podpisu, a nazwa użytkownika i przypisane role są następnie odczytywane z tego tokena kontrolowanego przez atakującego. Każdy, kto może zarejestrować dzierżawę Azure, może więc uwierzytelnić się w interfejsie Airflow bez wcześniejszego dostępu do wdrożenia.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do interfejsu Airflow, co może prowadzić do przejęcia kontroli nad przepływami pracy, modyfikacji danych i potencjalnego uruchomienia złośliwego kodu w środowisku Airflow.
Rekomendacja
Należy natychmiast zaktualizować apache-airflow-providers-fab do wersji 3.8.1 lub nowszej. Nawet jeśli wcześniej zastosowano poprawkę CVE-2026-59243, wymagana jest ponowna aktualizacja, ponieważ ta wersja nadal jest podatna.
Inne podatności w Apache Airflow FAB provider
Zobacz wszystkie- CVE-2026-86462Krytyczne
W providerze Apache Airflow FAB zmiana hasła użytkownika przez endpoint PATCH edycji użytkownika w panelu administracyjnym nie unieważnia istniejących sesji tego użytkownika w bazie danych. Atakujący posiadający kopię ciasteczka sesji zachowuje pełny dostęp po zmianie hasła.
- CVE-2026-82311Krytyczne
W providerze Apache Airflow FAB resetowanie hasła użytkownika nie usuwa jego istniejących sesji w bazie danych, mimo udokumentowanego zachowania. Porównanie identyfikatora sesji (string) z identyfikatorem użytkownika (integer) nigdy nie pasuje, więc żadna sesja nie jest usuwana, a atakujący z kopią ciasteczka zachowuje dostęp.
- CVE-2026-86466Wysokie
Apache Airflow FAB provider: ścieżka Authentik OAuth w menedżerze uwierzytelniania FAB nie waliduje roszczeń issuer ani audience przyjmowanego id_token. Atakujący posiadający token wygenerowany przez tę samą instancję Authentik dla innej aplikacji klienckiej może przedstawić go Airflow i zostać uwierzytelniony jako wskazany użytkownik, ponieważ roszczenie audience nigdy nie jest sprawdzane. Dotyczy wdrożeń używających menedżera FAB z Authentik OAuth, gdzie ta sama instancja Authentik obsługuje inne aplikacje.
- CVE-2026-82310Wysokie
W Apache Airflow FAB provider dezaktywacja konta użytkownika nie unieważnia wcześniej wydanych tokenów. Tokeny te pozostają ważne i mogą być używane do uzyskiwania dostępu, nawet po dezaktywacji konta przez administratora.
Oryginalny opis (angielski, źródło NVD)
Apache Airflow FAB provider versions 3.7.3 through 3.8.0 do not validate the issuer or audience of Azure AD `id_token`s during OAuth login. Deployments are affected only when the FAB auth manager is configured with Azure AD as an OAuth provider. Because the signing keys are fetched from Microsoft's **multi-tenant** JWKS endpoint, an `id_token` minted in *any* Azure tenant — including one the attacker creates — passes signature verification, and the username and role assignments are then read from that attacker-controlled token. Anyone able to register an Azure tenant can therefore authenticate to the Airflow UI with no prior access to the deployment. The fix for **CVE-2026-59243** was incomplete, and this advisory closes the remaining gap: that fix made the provider verify the `id_token` signature, but did not add issuer or audience checks. Operators who already applied the CVE-2026-59243 fix are **still affected and must upgrade again** — 3.7.3 is the release that shipped that fix, so every version containing it falls inside this affected range. Upgrade to apache-airflow-providers-fab `3.8.1` or later.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS