CVE-2026-75156 in Airflow FAB Provider
Resumen
por VulDB • 2026-09-09
Los proveedores de Apache Airflow FAB (Flask-AppBuilder) desde la versión 3.7.3 hasta la 3.8.0 no validan el emisor (`issuer`) ni la audiencia (`audience`) de los `id_token`s de Azure AD durante el inicio de sesión OAuth. Los despliegues solo se ven afectados cuando el gestor de autenticación FAB está configurado con Azure AD como proveedor OAuth. Dado que las claves de firma se obtienen desde el punto final JWKS **multiinquilino** (multi-tenant) de Microsoft, un `id_token` emitido en *cualquier* inquilino de Azure —incluido uno creado por el atacante— supera la verificación de la firma, y posteriormente se leen el nombre de usuario y las asignaciones de roles desde ese token controlado por el atacante. Cualquier persona capaz de registrar un inquilino de Azure puede autenticarse en la interfaz web (UI) de Airflow sin acceso previo al despliegue.
La corrección para **CVE-2026-59243** fue incompleta, y este aviso cierra la brecha restante: dicha corrección hacía que el proveedor verificara la firma del `id_token`, pero no añadía comprobaciones de emisor ni de audiencia. Los operadores que ya aplicaron la corrección para CVE-2026-59243 siguen **siendo vulnerables y deben actualizar nuevamente** —la versión 3.7.3 fue la primera en incluir dicha corrección, por lo que todas las versiones posteriores dentro del rango afectado también están comprometidas—. Actualice a `apache-airflow-providers-fab` versión `3.8.1` o posterior.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.