🇰🇷 한글 설명
Apache Airflow의 세션 고정 취약점으로 인해 관리자가 사용자의 비밀번호를 재설정하더라도 기존 세션이 만료될 때까지 웹 서버에 계속 접속할 수 있습니다. 데이터베이스 세션 백엔드를 사용하는 경우 비밀번호 재설정 시 세션이 무효화되지만, securecookie 백엔드를 사용하는 경우에는 세션이 유지되는 한도가 존재합니다.
💡 쉬운 설명
비밀번호를 바꿔도 이미 로그인된 상태라면 로그아웃되지 않고 계속 접속할 수 있는 보안 허점입니다. 해커가 계정을 탈취했을 때 비밀번호를 바꿔도 공격자가 계속 머무를 수 있어 위험합니다.
🇺🇸 원문 (English)
The session fixation vulnerability allowed the authenticated user to continue accessing Airflow webserver even after the password of the user has been reset by the admin - up until the expiry of the session of the user. Other than manually cleaning the session database (for database session backend), or changing the secure_key and restarting the webserver, there were no mechanisms to force-logout the user (and all other users with that).
With this fix implemented, when using the database session backend, the existing sessions of the user are invalidated when the password of the user is reset. When using the securecookie session backend, the sessions are NOT invalidated and still require changing the secure key and restarting the webserver (and logging out all other users), but the user resetting the password is informed about it with a flash message warning displayed in the UI. Documentation is also updated explaining this behaviour.
Users of Apache Airflow are advised to upgrade to version 2.7.0 or newer to mitigate the risk associated with this vulnerability.
📍 영향받는 시스템
Apache Airflow 2.7.0 미만 버전
⚔️ 공격 벡터
이미 인증된 사용자의 세션이 비밀번호 변경 후에도 유효함을 이용하여 권한을 유지함
🛡️ 대응 방법
Apache Airflow를 2.7.0 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 2.7.0보다 낮은지 확인하십시오.
python3 -c "import airflow; print(airflow.__version__)" 2>/dev/null || echo 'Airflow not installed'