🇰🇷 한글 설명
FAB 인증 관리자의 Azure AD OAuth 로그인 과정에서 ID 토큰의 서명을 검증하지 않는 설정 오류가 발견되었습니다. 공격자가 위조되거나 서명이 없는 토큰을 사용하여 인증을 우회하고 관리자 권한을 포함한 임의의 사용자로 로그인할 수 있습니다.
💡 쉬운 설명
로그인할 때 제출하는 신분증의 진짜 여부를 확인하지 않는 보안 허점이 발견되었습니다. 이를 통해 해커가 가짜 신분증을 만들어 관리자 권한으로 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
The FAB auth manager's Azure AD OAuth login defaulted `verify_signature=False` when decoding the ID token, so an attacker able to present a forged or unsigned (`alg:none`) ID token to the OAuth callback could bypass authentication and log in as an arbitrary user, including one holding the Admin role (CWE-347). Deployments running the FAB auth manager with the Azure AD OAuth login path under its default configuration are affected; the Authentik path already defaulted to `True`. This issue affects `apache-airflow-providers-fab` before 3.7.3. Users are advised to upgrade to `apache-airflow-providers-fab` 3.7.3, which defaults `verify_signature=True`.
📍 영향받는 시스템
apache-airflow-providers-fab 3.7.3 미만 버전
⚔️ 공격 벡터
위조되었거나 서명이 없는(alg:none) ID 토큰을 OAuth 콜백에 전송하여 인증 우회
🛡️ 대응 방법
apache-airflow-providers-fab 버전을 3.7.3 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 3.7.3보다 낮은지 확인합니다.
pip show apache-airflow-providers-fab | grep Version