CVE-2026-76187 in Airflow
요약
\~에 의해 VulDB • 2026. 09. 16.
Apache Airflow Keycloak provider: 인증되지 않은 토큰 엔드포인트는 Keycloak realm에 등록된 모든 confidential 클라이언트에 대해 client-credentials grant를 수락하며, Airflow용으로 구성된 클라이언트에만 국한되지 않습니다. 어떤 client id가 인증될 수 있는지 제한하는 allowlist가 없으므로, 우연히 동일한 realm을 공유하는 다른 애플리케이션의 자격 증명이 유효한 Airflow 로그인 자격 증명이며, Airflow는 해당 애플리케이션의 서비스 계정에 대해 서명된 세션 토큰을 발급합니다. 또한 이 엔드포인트는 Airflow의 ID를 사용하여 Keycloak에 대한 인증되지 않은 자격 증명 추측(Unauthenticated credential guesses)에도 응답합니다.
Keycloak auth manager를 사용하며 realm이 다른 confidential 클라이언트와 공유되는 배포 환경에서 영향을 받습니다. 공격자는 Airflow가 아닌 해당 클라이언트 중 하나에 대해 유효한 자격 증명이 필요합니다. 리소스 권한 부여는 여전히 subject별로 평가되므로, 획득된 접근 권한은 해당 서비스 계정이 보유한 권한과 인증 여부만으로 제한되는(end point gated only on being authenticated) 모든 엔드포인트의 접근 권한을 포함합니다.
apache-airflow-providers-keycloak 사용자는 이 grant에서 구성된 클라이언트만 수락하는 버전 0.10.0 이상으로 업그레이드할 것을 권장합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.