🇰🇷 한글 설명
Apache Airflow FAB 프로바이더의 Authentik OAuth 경로에서 id_token의 issuer 또는 audience 클레임을 검증하지 않는 취약점이 발견되었습니다. 공격자가 동일한 Authentik ID 공급자가 다른 클라이언트 애플리케이션을 위해 발행한 토큰을 사용하여 Airflow에 인증을 시도하고 특정 사용자로 위장할 수 있습니다.
💡 쉬운 설명
다른 웹사이트 로그인에 사용했던 인증 티켓을 그대로 가져와서 Airflow 서비스에 제출해도 시스템이 이를 허용하는 문제입니다. 이를 통해 공격자는 다른 서비스의 권한을 이용해 Airflow에 무단으로 로그인할 수 있습니다.
🇺🇸 원문 (English)
Apache Airflow FAB provider: the Authentik OAuth path in the FAB auth manager does not validate the issuer or audience claims of the id_token it accepts. An attacker holding a token that the same Authentik identity provider minted for a different client application can present it to Airflow and be authenticated as the user it names, because the audience claim is never checked. Affects deployments using the FAB auth manager with Authentik OAuth where the same Authentik instance also serves other applications; the attacker needs a valid token for any of those other applications, not for Airflow.
CVE-2026-75156 corrected the same missing validation on the Azure AD path in this file; the Authentik path was left unchanged and is fixed here. Deployments that applied the CVE-2026-75156 fix and use Authentik must also upgrade for this one.
Users of apache-airflow-providers-fab are recommended to upgrade to version 3.9.0 or later, which fixes the issue.
📍 영향받는 시스템
apache-airflow-providers-fab 3.9.0 미만 버전 (Authentik OAuth 및 FAB auth manager 사용 시)
⚔️ 공격 벡터
동일한 Authentik 인스턴스를 사용하는 다른 애플리케이션에서 발급받은 유효한 id_token을 Airflow에 제출하여 인증 우회
🛡️ 대응 방법
apache-airflow-providers-fab 패키지를 3.9.0 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 3.9.0보다 낮은지 확인하십시오.
pip show apache-airflow-providers-fab | grep Version