CVE-2026-76186

Provider Keycloak di Apache Airflow: a partire da Airflow 3.3, il gestore di autenticazione Keycloak prende l'identità di un utente dal token di sessione Airflow firmato, ma i token di accesso e refresh di Keycloak usati per ogni decisione di autorizzazione vengono estratti da cookie separati e non autenticati, e non verifica mai che i due descrivano lo stesso soggetto. Un utente che possiede un proprio login Airflow valido, insieme a un altro token di accesso o refresh di Keycloak di un soggetto diverso ottenuto fuori banda, può accoppiare i due: Airflow quindi autorizza le richieste con i privilegi del token esterno mentre l'identità di sessione, i log di audit e le chiavi della cache continuano a identificare l'account dell'attaccante. Il percorso di refresh ri-emitte un token di sessione Airflow per l'identità originale contenente i token esterni, quindi l'accoppiamento errato persiste attraverso le sessioni.

Colpisce le implementazioni che eseguono Airflow 3.3 o versioni successive con il gestore di autenticazione Keycloak. Le versioni precedenti includevano i token di Keycloak all’interno del token di sessione firmato, quindi il binding esisteva ed è stato perso quando sono stati spostati in cookie separati.

Si raccomanda agli utenti di apache-airflow-providers-keycloak di aggiornare alla versione 0.10.0 o successiva, che vincola i token forniti dai cookie all’identità di sessione.