CVE-2026-75156 in Airflow FAB Provider
Zusammenfassung
von VulDB • 08.09.2026
Die Apache Airflow FAB-Provider-Versionen von 3.7.3 bis 3.8.0 validieren den Aussteller (Issuer) oder das Ziel (Audience) von Azure AD `id_token`s während der OAuth-Anmeldung nicht. Bereitstellungen sind nur betroffen, wenn der FAB-Authentifizierungsmanager mit Azure AD als OAuth-Anbieter konfiguriert ist. Da die Signaturschlüssel vom **multi-Tenant**-JWKS-Endpunkt von Microsoft abgerufen werden, besteht eine `id_token`, die in *jedem* Azure-Mandanten erstellt wurde – einschließlich eines vom Angreifer erstellten Mandanten –, die Signaturenüberprüfung erfolgreich, und der Benutzername sowie die Rollenzuweisungen werden dann aus diesem vom Angreifer kontrollierten Token gelesen. Jeder, der einen Azure-Mandanten registrieren kann, kann sich daher ohne vorherigen Zugriff auf die Bereitstellung in der Airflow-Benutzeroberfläche authentifizieren.
Die Korrektur für **CVE-2026-59243** war unvollständig, und diese Advisory schließt die verbleibende Lücke: Diese Korrektur ließ den Provider zwar die `id_token`-Signatur überprüfen, fügte jedoch keine Prüfungen auf Aussteller oder Ziel hinzu. Betreiber, die das CVE-2026-59243-Patch bereits angewendet haben, sind **immer noch betroffen und müssen erneut upgraden** – 3.7.3 ist die Version, die dieses Patch auslieferte, daher fällt jede Version, die es enthält, in diesen betroffenen Bereich. Führen Sie ein Upgrade auf apache-airflow-providers-fab `3.8.1` oder höher durch.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.