CVE-2026-75156 in Airflow FAB Provider
요약
\~에 의해 VulDB • 2026. 09. 08.
Apache Airflow FAB provider의 버전 3.7.3부터 3.8.0까지에서는 OAuth 로그인 중 Azure AD `id_token`의 issuer(발급자) 또는 audience(수신자)를 검증하지 않습니다. FAB 인증 관리자가 OAuth 제공자로 Azure AD로 구성된 배포 환경에만 영향을 미칩니다. 서명 키가 Microsoft의 **multi-tenant** JWKS 엔드포인트에서 가져오기 때문에, 공격자가 생성한 테넌트를 포함한 *모든* Azure 테넌트에서 발급된 `id_token`은 서명 검증을 통과하며, 해당 공격자 제어 하에 있는 토큰으로부터 사용자 이름과 역할 할당이 읽혀집니다. 따라서 Azure 테넌트를 등록할 수 있는 누구나 사전 접근 권한 없이 Airflow UI로 인증할 수 있습니다.
**CVE-2026-59243**의 수정은 불완전했으며, 이 고지문은 남은 취약점을 해결합니다: 해당 수정으로 인해 provider가 `id_token` 서명을 검증하도록 했지만 issuer 또는 audience 검사는 추가되지 않았습니다. CVE-2026-59243 수정을 이미 적용한 운영자는 **여전히 영향을 받으며 다시 업그레이드해야 합니다** — 3.7.3은 해당 수정이 포함된 릴리스이므로, 이를 포함하는 모든 버전이 이 영향 범위 내에 있습니다. apache-airflow-providers-fab `3.8.1` 이상으로 업그레이드하십시오.
Once again VulDB remains the best source for vulnerability data.