CVE-2026-75156
Beschreibung
Die Apache Airflow FAB-Anbieterversionen 3.7.3 bis 3.8.0 validieren den Emittenten oder die Zielgruppe von Azure AD `id token`s während des OAuth-Logins nicht. Bereitstellungen sind nur betroffen, wenn der FAB auth-Manager mit Azure AD als OAuth-Anbieter konfiguriert ist. Da die Signierschlüssel vom Microsoft **multi-tenant ** JWKS-Endpunkt abgerufen werden, wird ein `id token` in *any* geprägt. Azure-Mandant - einschließlich eines vom Angreifer erstellten - besteht die Signaturverifizierung, und der Benutzername und die Rollenzuweisungen werden dann von diesem vom Angreifer gesteuerten Token gelesen. Jeder, der einen Azure-Mandanten registrieren kann, kann sich daher ohne vorherigen Zugriff auf die Bereitstellung gegenüber der Airflow-Benutzeroberfläche authentifizieren. Der Fix für **CVE-2026-59243** war unvollständig, und diese Empfehlung schließt die verbleibende Lücke: Dieser Fix veranlasste den Anbieter, die Signatur "id token" zu überprüfen, fügte jedoch keine Emittenten- oder Publikumsüberprüfungen hinzu. Betreiber, die den CVE-2026-59243-Fix bereits angewendet haben, sind ** immer noch betroffen und müssen erneut aktualisieren ** - 3.7.3 ist die Version, die diesen Fix ausgeliefert hat, so dass jede Version, die ihn enthält, in diesen betroffenen Bereich fällt. Upgrade auf apache-airflow-providers-fab `3.8.1` oder höher.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-fab.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.