CVE-2026-76186
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.5%
- CWE
- CWE-565
- KEV Durumu
- Hayır
Yayım tarihi: 16 Eylül 2026
Etkilenen: apache apache-airflow-providers-keycloak
Apache Airflow Keycloak sağlayıcısı: Airflow 3.3'ten itibaren Keycloak auth yöneticisi, imzalı Airflow oturum tokenından bir kullanıcının kimliğini alır, ancak her yetkilendirme kararı için kullanılan Keycloak erişim ve yenileme tokenlarını ayrı, kimliği doğrulanmamış çerezlerden alır ve ikisinin aynı konuyu tanımladığını hiçbir zaman kontrol etmez. Kendi hesabına geçerli herhangi bir Airflow oturum açması olan ve ayrıca başka bir konunun Keycloak erişim veya yenileme tokenını bandan dışarı elde eden bir kullanıcı, ikisini birleştirebilir: Airflow daha sonra yabancı tokenın ayrıcalıklarıyla istekleri yetkilendirirken, oturum kimliği, denetim günlüğü ve önbellek anahtarı saldırganın kendi hesabının adını devam ettirir. Yenileme yolu, orijinal kimliğe sahip yabancı tokenları taşıyan bir Airflow oturum tokenını yeniden发出 eder, böylece eşleşmemiş çiftleme seanslar boyunca hayatta kalır. Airflow 3.3 veya daha sonraki sürümleriyle Keycloak auth yöneticisini çalıştıran dağıtımları etkiler. Daha önceki sürümler, Keycloak tokenlarını imzalı oturum tokenının içinde taşıyordu, bu nedenle bağlama mevcuttu ve ayrı çerezlere taşındıklarında kayboldu. apache-airflow-providers-keycloak kullanıcıları, çerez tarafından sağlanan tokenları oturum kimliğine bağlayan 0.10.0 veya daha sonraki bir sürüme yükseltmeleri önerilir.
Orijinal açıklama (İngilizce)
Apache Airflow Keycloak provider: from Airflow 3.3 the Keycloak auth manager takes a user's identity from the signed Airflow session token but takes the Keycloak access and refresh tokens used for every authorization decision from separate, unauthenticated cookies, and never checks that the two describe the same subject. A user who holds any valid Airflow login of their own, together with another subject's Keycloak access or refresh token obtained out of band, can pair the two: Airflow then authorizes requests with the foreign token's privileges while the session identity, audit log and cache keys continue to name the attacker's own account. The refresh path re-issues an Airflow session token for the original identity carrying the foreign tokens, so the mismatched pairing survives across sessions. Affects deployments running Airflow 3.3 or later with the Keycloak auth manager. Earlier versions carried the Keycloak tokens inside the signed session token, so the binding existed and was lost when they moved into separate cookies. Users of apache-airflow-providers-keycloak are recommended to upgrade to version 0.10.0 or later, which binds the cookie-supplied tokens to the session identity.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.