CVE-2026-82311
Beschreibung
Apache Airflow FAB-Anbieter: Durch das Zurücksetzen des Passworts eines Benutzers werden die vorhandenen datenbankgestützten Sitzungen dieses Benutzers trotz des dokumentierten Verhaltens nicht gelöscht. Die Bereinigung vergleicht die String-ID Flask-Login-Speicher in der Sitzung mit der Integer-Datenbank-ID des Benutzers, so dass der Vergleich niemals übereinstimmt und keine Sitzung entfernt wird. Ein angreifer, der bereits eine kopie des sitzungscookies des opfers besitzt, behält den zugriff als dieser benutzer nach der passwortänderung, so dass das zurücksetzen sie nicht vertreibt. Beeinflusst Bereitstellungen mit dem FAB auth Manager mit `[fab] session backend=database`. Der Auslöser ist ein Administrator (oder der Benutzer), der den unterstützten Befehl zum Zurücksetzen des Passworts als Eindämmungsaktion ausführt, nachdem ein Sitzungscookie kompromittiert wurde; das Secure-Cookie-Backend ist außerhalb des Anwendungsbereichs, da es dokumentiert, dass Sitzungen nicht zentral gelöscht werden können. apache-airflow-providers-fab 3.9.0 behebt auch CVE-2026-86462, eine zweite, unabhängige Route zum gleichen Ergebnis über den Admin-Benutzerbearbeitungs-Endpunkt; ein einziges Upgrade schließt beide. Benutzern von apache-airflow-providers-fab wird empfohlen, auf Version 3.9.0 oder höher zu aktualisieren, die die Identifikatoren konsistent vergleicht.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-fab.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.