„`html
Zusammenfassung
CVE-2026-59243 ist eine kritische Authentifizierungslücke im FAB Auth Manager von Apache Airflow. Die Schwachstelle ermöglicht es Angreifern, die OAuth-Authentifizierung via Azure AD zu umgehen und sich als beliebige Benutzer, einschließlich Administratoren, anzumelden. Die Lücke existiert aufgrund einer unsicheren Standardkonfiguration bei der JWT-Signaturverifizierung.
Betroffene Systeme
Betroffene Software:
- Apache Airflow Providers FAB vor Version 3.7.3
- Spezifisch: azure-ad OAuth Login Implementierung
Nicht betroffen: Authentik-Pfad (defaultet bereits auf verify_signature=True)
Technische Details
Verwundbarkeit: Die FAB Auth Manager Implementierung setzt standardmäßig `verify_signature=False` beim Dekodieren des Azure AD ID Tokens. Dies verstößt gegen CWE-347 (Improper Verification of Cryptographic Signature).
Angriffsvektor: Ein Angreifer kann ein gefälschtes oder unsigniertes JWT Token (mit Algorithmus „none“) an den OAuth Callback präsentieren. Ohne Signaturverifizierung akzeptiert die Anwendung dieses Token und authentifiziert den Angreifer.
Auswirkungen: Vollständige Authentifizierungsumgehung mit Möglichkeit, Administrative Konten zu übernehmen. CVSS Score: 9.8 (Critical).
Empfohlene Massnahmen
- Sofortmaßnahme: Upgrade auf apache-airflow-providers-fab Version 3.7.3 oder höher durchführen
- Konfiguration: Manuelle Konfiguration von `verify_signature=True` in älteren Versionen als temporäre Workaround
- Überprüfung: Audit-Logs auf verdächtige Azure AD OAuth-Anmeldungen prüfen
- Monitoring: Unerwartete Administrative Zugriffe kontrollieren
Bewertung
CVSS v3.1 Score: 9.8 (Critical)
Angriffsvektor: Network | Authentifizierung: Nicht erforderlich | Benutzerinteraktion: Keine
Die Schwachstelle erfordert sofortige Aufmerksamkeit und Patching, da sie kritische Sicherheitskomponenten ohne AuthentifizierungshĂĽrden kompromittiert.
„`