CVE-2026-82310
Beschreibung
Apache Airflow FAB Provider: Durch die Deaktivierung eines Benutzerkontos werden Token, die vor der Deaktivierung an dieses Konto ausgegeben wurden, nicht gestoppt. Die Passwort-Authentifizierung lehnt das deaktivierte Konto korrekt ab, aber die Core-API akzeptiert weiterhin ein vorhandenes, nicht abgelaufenes Token, das es benannt, und lässt dieses Token einen Ersatz prägen - so behält das Konto seinen rollenübergreifenden Zugriff auf unbestimmte Zeit, nachdem ein Administrator es deaktiviert hat. Der benutzer wiederholt seine eigenen legitimen anmeldeinformationen; es ist keine signaturfälschung oder privileg-eskalation involviert, und der zugriff bleibt innerhalb der rollen, die das konto bereits gehalten hat. Beeinflusst Bereitstellungen mit Airflow 3 mit dem FAB auth-Manager und der Core API-Token-Authentifizierung, wobei ein Administrator ein Konto deaktiviert, dessen Zeile in der Datenbank verbleibt und dessen zuvor ausgegebenes Token nicht abgelaufen ist. Der Auslöser ist die administrative Deaktivierung als Containment-Aktion, die stillschweigend nicht enthalten ist. Benutzern von apache-airflow-providers-fab wird empfohlen, auf Version 3.9.0 oder höher zu aktualisieren, die Tokens ablehnt, die ein deaktiviertes Konto benennen.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-fab.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.