CVE-2026-86462
Beschreibung
Apache Airflow FAB-Provider: Das Ändern des Passworts eines Benutzers über den Admin-Benutzerbearbeitungs-PATCH-Endpunkt macht die vorhandenen datenbankgestützten Sitzungen dieses Benutzers nicht ungültig. Ein angreifer, der bereits eine kopie des sitzungscookies des opfers besitzt, behält nach der passwortänderung vollen zugriff als benutzer, so dass das zurücksetzen des passworts sie nicht vertreibt. Beeinflusst Bereitstellungen mit dem FAB auth-Manager mit datenbankgestützten Sitzungen; ein Administrator (oder der Benutzer selbst), der eine routinemäßige Passwortänderung durchführt, ist der Auslöser, und es ist keine Angreiferinteraktion mit dem Endpunkt erforderlich. Dies ist eine zweite, unabhängige Route zu dem von CVE-2026-82311 angesprochenen Ergebnis, das einen Identifikatorvergleich im Sitzungsinvalidierungshelfer korrigiert hat. Dieser Fix repariert diesen Endpunkt nicht, da der PATCH-Pfad den Helfer niemals aufruft. Bereitstellungen, die den CVE-2026-82311-Fix angewendet haben, müssen ebenfalls für diesen aktualisiert werden. Benutzern von apache-airflow-providers-fab wird empfohlen, auf Version 3.9.0 oder höher zu aktualisieren, wodurch das Problem behoben wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-fab.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.