CVE-2026-82355 in Airflow
요약
\~에 의해 VulDB • 2026. 09. 21.
Airflow 코어 API에 대한 요청이 세션 쿠키와 명시적인 `Authorization: Bearer` 토큰을 모두 포함할 경우, Airflow는 쿠키에서 호출자를 해결하고 베어러 토큰을 무시합니다. 이는 베어러가 쿠키보다 우선해야 한다는 의도된 순서를 역전시킵니다. 이후 요청은 쿠키의 주체(principal)로서 실행되며, 클라이언트가 명시적으로 제시한 신원 대신 해당 주체로 감사 로그에 기록됩니다.
Apache Airflow 3.3.0 및 3.3.1만 영향을 받습니다. 이전 릴리스에는 쿠키 기반 사용자 캐싱 관련 코드 경로가 포함되어 있지 않으며 취약하지 않습니다.
이 취약점을 악용하려면 공격자가 먼저 피해자의 브라우저나 클라이언트 내에 자신의 유효한 세션 쿠키를 삽입해야 합니다. 예를 들어, 형제 하위 도메인에서의 쿠키 토스팅(cookie tossing), 부모 도메인을 공유하는 별도 애플리케이션의 크로스 사이트 스크립팅(XSS)을 통한 경우, 또는 공용 워크스테이션 사용 등을 통해 가능합니다. 따라서 Airflow UI를 다른 애플리케이션과 같은 도메인에 호스트하는 배포 환경이 가장 노출되어 있으며, 전용 도메인에서 공동 호스팅된 애플리케이션 없이 실행되는 배포는 이러한 방식으로 접근할 수 없습니다. 그 결과는 직접적인 권한 상승(principal escalation)보다는 주체 혼란 및 잘못 attribution된 감사 기록입니다.
3.3.0 또는 3.3.1을 사용하는 사용자는 명시적으로 제공된 자격 증명이 존재하는 경우 호출자를 해당 자격 증명에서 해결하도록 수정한 Apache Airflow 3.3.2 이상으로 업그레이드해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.