CVE-2026-76186

Beschreibung

Apache Airflow Keycloak-Anbieter: Ab Airflow 3.3 nimmt der Keycloak-Auth-Manager die Identität eines Benutzers aus dem signierten Airflow-Sitzungstoken, nimmt jedoch die Keycloak-Zugriffs- und Aktualisierungstoken, die für jede Autorisierungsentscheidung verwendet werden, aus separaten, nicht authentifizierten Cookies und überprüft niemals, ob die beiden dasselbe Thema beschreiben. Ein Benutzer, der über ein gültiges Airflow-Login verfügt, zusammen mit dem Keycloak-Zugriff oder dem Refresh-Token eines anderen Subjekts, das außerhalb des Bands erhalten wurde, kann die beiden koppeln: Airflow autorisiert dann Anfragen mit den Privilegien des ausländischen Tokens, während die Sitzungsidentität, das Auditprotokoll und die Cache-Schlüssel weiterhin das eigene Konto des Angreifers benennen. Der Aktualisierungspfad gibt ein Airflow-Sitzungstoken für die ursprüngliche Identität, die die fremden Token trägt, neu aus, so dass die nicht übereinstimmende Paarung über Sitzungen hinweg überlebt. Beeinflusst Bereitstellungen mit Airflow 3.3 oder höher mit dem Keycloak auth Manager. Frühere Versionen trugen die Keycloak-Token innerhalb des signierten Session-Tokens, so dass die Bindung existierte und verloren ging, als sie in separate Cookies verschoben wurden. Benutzern von apache-airflow-providers-keycloak wird empfohlen, auf die Version 0.10.0 oder höher zu aktualisieren, die die von Cookies bereitgestellten Token an die Sitzungsidentität bindet.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-keycloak.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.