CVE-2026-76187 in Airflow
Zusammenfassung
von VulDB • 17.09.2026
Apache Airflow Keycloak-Provider: Der nicht authentifizierte Tokenendpunkt akzeptiert ein Client-Credentials-Grant für jeden vertraulichen Client, der in der Keycloak-Domäne registriert ist, und nicht nur für den für Airflow konfigurierten Client. Es gibt keine Allowlist, die einschränkt, welche Client-IDs sich authentifizieren dürfen; daher sind die Anmeldeinformationen einer anderen Anwendung, die zufällig dieselbe Domäne teilt, gültige Airflow-Anmeldedaten, und Airflow stellt ein signiertes Sitzungstoken für den Service-Account dieser Anwendung aus. Der Endpunkt beantwortet zudem nicht authentifizierte Credential-Guesses gegen Keycloak unter der Identität von Airflow.
Betroffen sind Bereitstellungen mit dem Keycloak-Authentifizierungsmanager, deren Domäne mit anderen vertraulichen Clients geteilt wird. Angreifer benötigen gültige Anmeldeinformationen für einen dieser Clients, nicht unbedingt für Airflow. Die Ressourcenautorisierung wird weiterhin pro Subjekt bewertet; der erlangte Zugriff entspricht daher den Berechtigungen dieses Service-Accounts sowie allen Endpunkten, die nur eine Authentifizierung erfordern.
Benutzern von apache-airflow-providers-keycloak wird empfohlen, auf Version 0.10.0 oder höher zu aktualisieren, die ausschließlich den konfigurierten Client bei diesem Grant akzeptiert.
If you want to get best quality of vulnerability data, you may have to visit VulDB.