CVE-2026-82355

Beschreibung

Wenn eine Anfrage an die Airflow-Core-API sowohl ein Session-Cookie als auch ein explizites "Authorization: Bearer"-Token enthält, löst Airflow den Anrufer aus dem Cookie auf und ignoriert das Bearer-Token, wodurch die beabsichtigte Priorität des Bearers gegenüber dem Cookie umgekehrt wird. Die Anforderung wird dann als Prinzipal des Cookies ausgeführt - und im Auditprotokoll aufgezeichnet - und nicht als Identität, die der Client explizit angezeigt hat. Nur Apache Airflow 3.3.0 und 3.3.1 sind betroffen. Frühere Versionen enthalten nicht den Codepfad, der den von Cookies abgeleiteten Benutzer zwischenspeichert, und sind nicht anfällig. Um dies auszunutzen, muss ein angreifer zuerst ein gültiges sitzungscookie in den browser oder client des opfers legen: zum beispiel durch cookie-wurf aus einer geschwister-subdomain, durch standortübergreifendes scripting in einer separaten anwendung, die eine elterndomäne teilt, oder über eine gemeinsame arbeitsstation. Bereitstellungen, die die Airflow-Benutzeroberfläche in einer mit anderen Anwendungen geteilten Domäne hosten, sind daher am stärksten gefährdet; eine Bereitstellung in einer dedizierten Domäne ohne Co-Hosted-Anwendungen ist auf diese Weise nicht erreichbar. Die Folge sind hauptsächliche Verwirrung und falsch zugeordnete Audit-Aufzeichnungen und keine direkte Privilegeskalation. Benutzer von 3.3.0 oder 3.3.1 sollten auf Apache Airflow 3.3.2 oder höher upgraden, wodurch der Anrufer von dem explizit angegebenen Anmeldenachweis aufgelöst wird, wenn einer vorhanden ist.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation airflow.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.