Podatności Apache Airflow Keycloak provider

W providerze Keycloak dla Apache Airflow funkcja wielozespołowego provisioningu (`_attach_team_permissions`) przyznawała każdej roli zespołu globalny dostęp do odczytu dzienników audytu. Wdrożenia z włączonym trybem wielozespołowym i menedżerem uwierzytelniania Keycloak są narażone — każdy uwierzytelniony członek jednego zespołu mógł odczytywać zdarzenia audytu innych zespołów przez UI lub API dziennika zdarzeń.

W Apache Airflow Keycloak provider nieuwierzytelniony endpoint tokenów akceptuje grant client-credentials dla dowolnego poufnego klienta zarejestrowanego w realmie Keycloak, nie tylko dla klienta skonfigurowanego dla Airflow. Brak listy dozwolonych klientów pozwala na użycie poświadczeń innej aplikacji jako ważnych poświadczeń logowania do Airflow.

W Apache Airflow Keycloak provider od wersji 3.3 tożsamość użytkownika jest pobierana z podpisanego tokena sesji Airflow, ale tokeny dostępu i odświeżania Keycloak używane do autoryzacji pochodzą z oddzielnych, nieuwierzytelnionych ciasteczek i nie są weryfikowane pod kątem zgodności z tożsamością. Pozwala to na sparowanie cudzych tokenów z własną sesją.