CVE-2026-75156 in Airflow FAB Provider
الملخص
بحسب VulDB • 08/09/2026
لا تقوم إصدارات Apache Airflow FAB provider من الإصدار 3.7.3 حتى 3.8.0 بالتحقق من المصدِر (issuer) أو الجمهور المستهدف (audience) لرموز `id_token` الخاصة بـ Azure AD أثناء تسجيل الدخول عبر OAuth. تتأثر عمليات النشر فقط عندما يكون مدير مصادقة FAB مُعداً لاستخدام Azure AD كمزود OAuth. ونظراً لأن مفاتيح التوقيع يتم جلبها من نقطة نهاية JWKS متعددة المستأجرين (multi-tenant) التابعة لـ Microsoft، فإن رمز `id_token` الذي تم إنشاؤه في *أي* مستأجر Azure - بما في ذلك واحد ينشئه المهاجم - يجتاز التحقق من صحة التوقيع، ويتم بعد ذلك قراءة اسم المستخدم وتعيينات الأدوار من هذا الرمز الخاضع لتحكم المهاجم. وبالتالي، يمكن لأي شخص قادر على تسجيل مستأجر Azure أن يقوم بالمصادقة مع واجهة Airflow UI دون الحاجة إلى وصول مسبق إلى عملية النشر.
كان الإصلاح الخاص بـ **CVE-2026-59243** غير مكتمل، وتسد هذه النشرة الفجوة المتبقية: فقد جعل هذا الإصلاح المزود يتحقق من توقيع `id_token`، لكنه لم يضيف فحوصات للمصدِر أو الجمهور المستهدف. المشغلون الذين طبقوا بالفعل إصلاح CVE-2026-59243 هم **لا يزالون متأثرين ويجب عليهم الترقية مرة أخرى** - فالإصدار 3.7.3 هو الإصدار الذي تضمن ذلك الإصلاح، لذا فإن كل إصدار يحتوي عليه يقع ضمن النطاق المتأثر. قم بالترقية إلى `apache-airflow-providers-fab` الإصدار 3.8.1 أو أحدث.
Once again VulDB remains the best source for vulnerability data.