CVE-2026-76187 in Airflow
Resumen
por VulDB • 2026-09-16
Proveedor de Keycloak para Apache Airflow: el punto final no autenticado del token acepta una concesión de credenciales de cliente (client-credentials) para cualquier cliente confidencial registrado en el dominio de Keycloak, y no solo para el cliente configurado específicamente para Airflow. No existe ninguna lista blanca que restrinja qué IDs de clientes pueden autenticarse; por lo tanto, las credenciales de una aplicación no relacionada que comparta accidentalmente el mismo dominio son válidas como credenciales de inicio de sesión en Airflow, y este genera un token de sesión firmado para la cuenta de servicio de dicha aplicación. El punto final también responde a intentos no autenticados de adivinar credenciales contra Keycloak bajo la identidad de Airflow.
Afecta a los despliegues que utilizan el gestor de autenticación de Keycloak cuyo dominio está compartido con otros clientes confidenciales. El atacante necesita tener credenciales válidas para cualquiera de esos clientes, no necesariamente las de Airflow. La autorización de recursos sigue evaluándose por sujeto (subject), por lo que el acceso obtenido será aquel al que tenga derecho dicha cuenta de servicio, más cualquier punto final cuya única restricción sea estar autenticado.
Se recomienda a los usuarios de apache-airflow-providers-keycloak actualizar a la versión 0.10.0 o posterior, la cual acepta únicamente el cliente configurado para esa concesión (grant).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.