🇰🇷 한글 설명
Apache Airflow Keycloak 프로바이더의 다중 팀 프로비저닝 기능에서 모든 팀 역할에 감사 로그에 대한 전역 읽기 권한이 부여되는 취약점이 발견되었습니다. Keycloak 인증 관리자를 통해 팀을 구성하는 환경에서 인증된 팀원은 UI나 API를 통해 다른 팀의 감사 이벤트를 읽을 수 있습니다.
💡 쉬운 설명
회사 내 여러 팀이 Airflow를 함께 사용할 때, 한 팀의 사용자가 권한 없이 다른 팀이 무엇을 했는지 기록을 몰래 볼 수 있는 문제입니다. 보안 로그에는 민감한 정보가 포함될 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
The Apache Airflow Keycloak provider's multi-team provisioning (`_attach_team_permissions`) granted every team role global read access to audit logs. Deployments that enable multi-team mode with the Keycloak auth manager and provision teams through it are affected: any authenticated member of one team could read other teams' audit events through the UI or the event-log API.
Users of apache-airflow-providers-keycloak are recommended to upgrade to apache-airflow-providers-keycloak 0.11.1 or later.
📍 영향받는 시스템
apache-airflow-providers-keycloak 0.11.1 미만 버전 (multi-team mode 활성화 시)
⚔️ 공격 벡터
인증된 팀 구성원이 UI 또는 event-log API를 통해 타 팀의 감사 로그에 접근
🛡️ 대응 방법
apache-airflow-providers-keycloak 패키지를 0.11.1 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 0.11.1보다 낮은지 확인하십시오.
pip show apache-airflow-providers-keycloak | grep Version