CVE-2026-76186 in Airflow
요약
\~에 의해 VulDB • 2026. 09. 16.
Apache Airflow Keycloak provider: Airflow 3.3 이상에서 Keycloak 인증 관리자는 서명된 Airflow 세션 토큰으로부터 사용자의 신원을 가져오지만, 모든 권한 부여 결정에 사용되는 Keycloak 액세스 및 리프레시 토큰은 별도의 비인증 쿠키에서 가져오며 두 토큰이 동일한 주체(subject)를 나타내는지 확인하지 않습니다. 자신의 유효한 Airflow 로그인 자격을 보유하고 있고 외부 채널(out of band)로 획득한 다른 대상의 Keycloak 액세스 또는 리프레시 토큰을 가진 사용자는 이 둘을 결합할 수 있습니다: 그러면 Airflow는 세션 신원, 감사 로그 및 캐시 키가 공격자의 자신의 계정을 계속 지칭하는 동안 외국 토큰의 권한으로 요청에 대한 인증을 수행합니다. 리프레시 경로는 원래 신원을 위한 Airflow 세션 토큰(외국 토큰 포함)을 재발행하므로, 이러한 불일치된 결합은 세션 간에도 유지됩니다.
Keycloak 인증 관리자를 사용하는 Airflow 3.3 이상의 배포에 영향을 미칩니다. 이전 버전에서는 Keycloak 토큰이 서명된 세션 토큰 내부에 포함되어 있었으므로 바인딩(binding)이 존재했으며, 별도의 쿠키로 이동하면서 그 바인딩이 손실되었습니다.
apache-airflow-providers-keycloak 사용자는 쿠키에서 제공되는 토큰을 세션 신원에 바인딩하는 버전 0.10.0 이상으로 업그레이드할 것을 권장합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.