CVE-2026-86473
Beschreibung
Apache Airflow: Der Core API-Logout-Endpunkt widerruft nur ein Sitzungstoken, das als token-Cookie dargestellt wird. Wenn sich ein Client anmeldet und stattdessen seinen Berechtigungsnachweis als Autorisierungsträger-Header präsentiert, gibt der Endpunkt seine normale Anmeldeantwort zurück, widerruft jedoch nichts, so dass das Token gültig bleibt, bis es abläuft. Ein angreifer, der bereits eine kopie dieses tokens besitzt, behält den zugriff des opfers, nachdem das opfer sich abgemeldet hat und glaubt, dass die sitzung beendet ist; die standard-token-lebensdauer beträgt 24 stunden und ist konfigurierbar. Beeinflusst API-Clients, die sich mit einem Bearer-Token anstelle des Browser-Sitzungs-Cookies authentifizieren. Der angreifer muss bereits eine kopie eines gültigen tokens besitzen; die erlangung eines solchen ist außerhalb des umfangs dieses problems, und es werden keine privilegien erworben, die über die eigenen des opfers hinausgehen. Benutzern von apache-airflow wird empfohlen, ein Upgrade auf apache-airflow Version 3.3.2 oder höher durchzuführen, wodurch das Problem behoben wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation airflow.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.