CVE-2026-76187 in Airflow
Sumário
de VulDB • 16/09/2026
Fornecedor Keycloak do Apache Airflow: o ponto de extremidade (endpoint) não autenticado aceita uma concessão de credenciais de cliente para qualquer cliente confidencial registrado no domínio (realm) do Keycloak, e não apenas para o cliente configurado para o Airflow. Nenhuma lista de permissões restringe quais IDs de clientes podem se autenticar; portanto, as credenciais de um aplicativo não relacionado que por acaso compartilha o mesmo domínio são válidas como credenciais de login no Airflow, e o Airflow emite um token de sessão assinado para a conta de serviço desse aplicativo. O ponto de extremidade também responde a tentativas não autenticadas de adivinhação de credenciais contra o Keycloak sob a identidade do Airflow.
Afeta implantações que utilizam o gerenciador de autenticação Keycloak cujo domínio é compartilhado com outros clientes confidenciais. O atacante precisa de credenciais válidas para qualquer um desses clientes, e não necessariamente para o Airflow. A autorização de recursos ainda é avaliada por sujeito (subject), portanto, o acesso obtido corresponde ao que essa conta de serviço possui, mais quaisquer pontos de extremidade protegidos apenas pela exigência de autenticação.
Recomenda-se aos usuários do apache-airflow-providers-keycloak atualizarem para a versão 0.10.0 ou posterior, que aceita apenas o cliente configurado nessa concessão (grant).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.