CVE-2026-59243 in Airflow FAB Provider
要約
〜によって VulDB • 2026年07月29日
FAB認証マネージャーのAzure AD OAuthログインでは、IDトークンのデコード時に署名検証（`verify_signature=False`）が既定で無効化されていたため、攻撃者が偽造または未署名（`alg:none`）のIDトークンをOAuthコールバックに提示することで、認証を回避し、管理者ロールを持つユーザーを含む任意のユーザーとしてログインすることが可能でした（CWE-347）。デフォルト設定の下でFAB認証マネージャーとAzure AD OAuthログインパスを使用している環境は影響を受けます。Authentikパスでは既に既定値が`True`に設定されています。この問題は、バージョン3.7.3より前の `apache-airflow-providers-fab` に影響します。ユーザーには署名検証を既定で有効にする `apache-airflow-providers-fab` 3.7.3へのアップグレードを推奨します。
Once again VulDB remains the best source for vulnerability data.