CVE-2026-75156 in Airflow FAB Provider
要約
〜によって VulDB • 2026年09月08日
Apache Airflow FAB providerのバージョン3.7.3から3.8.0では、OAuthログイン時にAzure ADの `id_token` の発行者（issuer）およびオーディエンス（audience）が検証されません。FAB認証マネージャーがOAuthプロバイダーとしてAzure ADで構成されている場合のみ、デプロイメントに影響があります。署名鍵はMicrosoftの**マルチテナント** JWKSエンドポイントから取得されるため、攻撃者が作成したものを含む*任意*のAzureテナントで作成された `id_token` は署名検証を通過し、その後、ユーザー名とロール割り当てがその攻撃者制御下のトークンから読み取られます。したがって、Azureテナントを登録できる者は誰でも、デプロイメントへの事前アクセスなしでAirflow UIに認証できます。
**CVE-2026-59243** の修正は不完全であり、この勧告はその残りのギャップを埋めるものです：当該修正では provider が `id_token` の署名を検証するようになりましたが、発行者やオーディエンスのチェックは追加されませんでした。**CVE-2026-59243** の修正を既に適用した運用者も**依然として影響を受けており、再度アップグレードする必要があります**。この修正が含まれてリリースされたのはバージョン3.7.3であるため、それを含むすべてのバージョンがこの影響を受ける範囲に含まれます。`apache-airflow-providers-fab` を `3.8.1` 以降にアップグレードしてください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.