CVE-2026-92228
NieznaneStreszczenie
W providerze Keycloak dla Apache Airflow funkcja wielozespołowego provisioningu (`_attach_team_permissions`) przyznawała każdej roli zespołu globalny dostęp do odczytu dzienników audytu. Wdrożenia z włączonym trybem wielozespołowym i menedżerem uwierzytelniania Keycloak są narażone — każdy uwierzytelniony członek jednego zespołu mógł odczytywać zdarzenia audytu innych zespołów przez UI lub API dziennika zdarzeń.
Ocena ryzyka
Naruszenie poufności dzienników audytu — członkowie jednego zespołu mogą przeglądać zdarzenia innych zespołów, co może ujawnić wrażliwe informacje operacyjne i naruszyć separację danych między zespołami.
Rekomendacja
Zaktualizuj apache-airflow-providers-keycloak do wersji 0.11.1 lub nowszej.
Inne podatności w Apache Airflow Keycloak provider
Zobacz wszystkie- CVE-2026-76187Krytyczne
W Apache Airflow Keycloak provider nieuwierzytelniony endpoint tokenów akceptuje grant client-credentials dla dowolnego poufnego klienta zarejestrowanego w realmie Keycloak, nie tylko dla klienta skonfigurowanego dla Airflow. Brak listy dozwolonych klientów pozwala na użycie poświadczeń innej aplikacji jako ważnych poświadczeń logowania do Airflow.
- CVE-2026-76186Krytyczne
W Apache Airflow Keycloak provider od wersji 3.3 tożsamość użytkownika jest pobierana z podpisanego tokena sesji Airflow, ale tokeny dostępu i odświeżania Keycloak używane do autoryzacji pochodzą z oddzielnych, nieuwierzytelnionych ciasteczek i nie są weryfikowane pod kątem zgodności z tożsamością. Pozwala to na sparowanie cudzych tokenów z własną sesją.
Oryginalny opis (angielski, źródło NVD)
The Apache Airflow Keycloak provider's multi-team provisioning (`_attach_team_permissions`) granted every team role global read access to audit logs. Deployments that enable multi-team mode with the Keycloak auth manager and provision teams through it are affected: any authenticated member of one team could read other teams' audit events through the UI or the event-log API. Users of apache-airflow-providers-keycloak are recommended to upgrade to apache-airflow-providers-keycloak 0.11.1 or later.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS