CVE-2026-82310
Niskie ryzyko· EPSS 17%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Apache Airflow FAB provider dezaktywacja konta użytkownika nie unieważnia wcześniej wydanych tokenów. Tokeny te pozostają ważne i mogą być używane do uzyskiwania dostępu, nawet po dezaktywacji konta przez administratora.
Ocena ryzyka
Dezaktywacja konta jako środek zaradczy nie działa, co może prowadzić do nieautoryzowanego dostępu do zasobów przez dezaktywowane konta.
Rekomendacja
Zaleca się aktualizację apache-airflow-providers-fab do wersji 3.9.0 lub nowszej, która odrzuca tokeny dla dezaktywowanych kont.
Inne podatności w Apache Airflow FAB provider
Zobacz wszystkie- CVE-2026-75156Krytyczne
Dostawca Apache Airflow FAB w wersjach od 3.7.3 do 3.8.0 nie weryfikuje wystawcy ani odbiorcy tokenów `id_token` Azure AD podczas logowania OAuth. Wdrożenia są zagrożone tylko wtedy, gdy menedżer uwierzytelniania FAB jest skonfigurowany z Azure AD jako dostawcą OAuth. Ponieważ klucze podpisujące są pobierane z wielodostępowego punktu końcowego JWKS Microsoftu, token `id_token` wybity w dowolnej dzierżawie Azure — w tym takiej, którą atakujący sam utworzy — przechodzi weryfikację podpisu, a nazwa użytkownika i przypisane role są następnie odczytywane z tego tokena kontrolowanego przez atakującego. Każdy, kto może zarejestrować dzierżawę Azure, może więc uwierzytelnić się w interfejsie Airflow bez wcześniejszego dostępu do wdrożenia.
- CVE-2026-86466Niskie ryzyko· EPSS 4%
Apache Airflow FAB provider: ścieżka Authentik OAuth w menedżerze uwierzytelniania FAB nie waliduje roszczeń issuer ani audience przyjmowanego id_token. Atakujący posiadający token wygenerowany przez tę samą instancję Authentik dla innej aplikacji klienckiej może przedstawić go Airflow i zostać uwierzytelniony jako wskazany użytkownik, ponieważ roszczenie audience nigdy nie jest sprawdzane. Dotyczy wdrożeń używających menedżera FAB z Authentik OAuth, gdzie ta sama instancja Authentik obsługuje inne aplikacje.
- CVE-2026-86462Niskie ryzyko· EPSS 9%
W providerze Apache Airflow FAB zmiana hasła użytkownika przez endpoint PATCH edycji użytkownika w panelu administracyjnym nie unieważnia istniejących sesji tego użytkownika w bazie danych. Atakujący posiadający kopię ciasteczka sesji zachowuje pełny dostęp po zmianie hasła.
- CVE-2026-82311Niskie ryzyko· EPSS 9%
W providerze Apache Airflow FAB resetowanie hasła użytkownika nie usuwa jego istniejących sesji w bazie danych, mimo udokumentowanego zachowania. Porównanie identyfikatora sesji (string) z identyfikatorem użytkownika (integer) nigdy nie pasuje, więc żadna sesja nie jest usuwana, a atakujący z kopią ciasteczka zachowuje dostęp.
Oryginalny opis (angielski, źródło NVD)
Apache Airflow FAB provider: deactivating a user account does not stop tokens issued to that account before deactivation. Password authentication correctly rejects the disabled account, but the Core API continues to accept an existing, unexpired token naming it, and lets that token mint a replacement — so the account keeps its role-scoped access indefinitely after an administrator has disabled it. The user replays their own legitimate credential; no signature forgery or privilege escalation is involved, and the access stays within the roles the account already held. Affects deployments using Airflow 3 with the FAB auth manager and Core API token authentication, where an administrator deactivates an account whose row remains in the database and whose previously issued token has not expired. The trigger is administrative deactivation as a containment action, which silently fails to contain. Users of apache-airflow-providers-fab are recommended to upgrade to version 3.9.0 or later, which rejects tokens naming a deactivated account.