CVE-2026-76187
Beschreibung
Apache Airflow Keycloak-Anbieter: Der nicht authentifizierte Token-Endpunkt akzeptiert einen Client-Credentials-Zuschuss für jeden vertraulichen Client, der im Keycloak-Reich registriert ist, nicht nur den für Airflow konfigurierten Client. Keine Allowlist schränkt ein, welche Client-IDs sich authentifizieren können, so dass die Anmeldeinformationen einer nicht verwandten Anwendung, die den Realm teilt, gültige Airflow-Anmeldeinformationen sind, und Airflow prägt ein signiertes Sitzungstoken für das Dienstkonto dieser Anwendung. Der Endpunkt beantwortet auch nicht authentifizierte Anmeldeinformationen gegen Keycloak unter Airflows Identität. Beeinflusst Bereitstellungen mit dem Keycloak Auth-Manager, dessen Realm mit anderen vertraulichen Clients geteilt wird. Der Angreifer benötigt gültige Anmeldeinformationen für einen dieser Clients, nicht für Airflow. Die Ressourcenautorisierung wird immer noch pro Subjekt bewertet, so dass der gewonnene Zugriff unabhängig davon ist, was das Dienstkonto enthält, plus jeder Endpunkt, der nur bei der Authentifizierung aktiviert wird. Benutzern von apache-airflow-providers-keycloak wird empfohlen, auf die Version 0.10.0 oder höher zu aktualisieren, die nur den konfigurierten Client für diesen Zuschuss akzeptiert.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-keycloak.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.