CVE-2026-76187

Apache Airflow Keycloak provayderi: autentifikasiya olunmamış token son nöqtəsi yalnız Airflow üçün konfiqurasiya edilmiş müştərini deyil, Keycloak realm-ində qeydiyyatdan keçmiş hər hansı konfidensial müştəri üçün client-credentials grant-ni qəbul edir. Hansı müştəri ID-lərinin autentifikasiya oluna biləcəyini məhdudlaşdıran heç bir ağ siyahı yoxdur, buna görə də eyni realm-i paylaşan əlaqəsiz tətbiqin etibarnamələri keçərli Airflow giriş etibarnamələri hesab olunur və Airflow həmin tətbiqin servis hesabı üçün imzalanmış sessiya tokeni yaradır. Son nöqtə həmçinin Airflow-un kimliyi altında Keycloak-a qarşı autentifikasiya olunmamış etibarnamə təxminlərinə cavab verir. Realm-i digər konfidensial müştərilərlə paylaşılan Keycloak auth menecerindən istifadə edən tətbiqlərə təsir edir. Hücumçuya Airflow üçün deyil, həmin müştərilərdən hər hansı biri üçün keçərli etibarnamələr lazımdır. Resurs avtorizasiyası hələ də subyekt üzrə qiymətləndirilir, buna görə də əldə edilən giriş həmin servis hesabının sahib olduğu hüquqlar və yalnız autentifikasiya ilə qorunan bütün son nöqtələrdən ibarətdir. apache-airflow-providers-keycloak istifadəçilərinə versiyanı 0.10.0 və ya daha yeni versiyaya yüksəltmək tövsiyə olunur; bu versiya həmin grant üçün yalnız konfiqurasiya edilmiş müştərini qəbul edir.