🇰🇷 한글 설명
Apache Airflow의 JWTRefreshMiddleware가 JWT 인증 쿠키를 설정할 때 Secure 플래그를 누락하여 발생한 취약점입니다. HTTPS를 종료하는 리버스 프록시 환경에서 사용자의 세션 JWT가 암호화되지 않은 HTTP 요청을 통해 노출될 수 있습니다. 공격자는 네트워크 위치에서 이 쿠키를 탈취하여 인증된 API에 재전송할 수 있습니다.
💡 쉬운 설명
로그인 정보를 담은 쿠키에 '보안 전용' 표시가 빠져 있어서, 해커가 중간에서 정보를 가로챌 수 있는 문제입니다. 해커가 가짜 연결을 통해 사용자의 로그인 정보를 훔쳐서 마치 사용자 본인인 것처럼 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
Apache Airflow's `JWTRefreshMiddleware` set the JWT auth cookie without the `Secure` flag, so deployments running the Airflow API server behind an HTTPS-terminating reverse proxy (e.g. nginx / Envoy / a managed load balancer that terminates TLS and forwards plaintext to the API server, the default cloud-native topology) would have the user's session JWT replayed over any cleartext HTTP request to the same host. A network-positioned attacker (Wi-Fi MITM, hostile LAN, captive-portal proxy) could induce a logged-in user's browser to issue an HTTP request to the deployment's hostname and capture the JWT cookie out of that request, then replay it against the authenticated API. Affects deployments where the Airflow API server is reached through a TLS-terminating proxy and the cookie's secure-by-default protection is load-bearing for session integrity. Users are advised to upgrade to `apache-airflow` 3.2.2 or later.
📍 영향받는 시스템
Apache Airflow 3.2.2 미만 버전 (HTTPS 종료 프록시 사용 환경)
⚔️ 공격 벡터
네트워크 중간자 공격(MITM)을 통해 암호화되지 않은 HTTP 요청에서 JWT 쿠키 탈취 및 재전송
🛡️ 대응 방법
Apache Airflow를 3.2.2 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 3.2.2보다 낮은지 확인하십시오.
pip show apache-airflow | grep Version