CVE-2026-86467
Təsvir
Apache Airflow Amazon provayderi: AWS auth manager-in SAML giriş axını autentifikasiya cavabını onu başladan brauzerlə əlaqələndirmir. Giriş idarəedicisi AuthnRequest ID-sini silir və geri çağırış (callback) uyğun InResponseTo tələb etmədən təsdiqi yoxlayır. Buna görə də, qurbanın səhifəni yükləməsinə səbəb ola bilən autentifikasiya olunmamış hücumçu, öz təsdiqindən istifadə edərək qurbanın brauzerində SAML girişini tamamlaya bilər və qurbanı gizli şəkildə hücumçunun Airflow hesabına daxil edə bilər. Qurbanın sonradan yerinə yetirdiyi işlər hücumçunun nəzarət etdiyi sessiyada baş verir. SAML autentifikasiyası ilə AWS auth manager istifadə edən tətbiqlərə təsir edir. Qurbana yalnız hücumçunun nəzarət etdiyi səhifəyə daxil olmaq kifayətdir; hücumçudan heç bir Airflow hesabı və ya etibarnamə tələb olunmur. Bu, Keycloak auth manager-də CVE-2026-40948 kimi düzəldilmiş eyni login-CSRF sinfinə aiddir. apache-airflow-providers-amazon istifadəçilərinə problemi aradan qaldıran 9.38.0 versiyasına yeniləmək tövsiyə olunur.
Necə düzəltmək olar
- Apache Software Foundation Apache Airflow Amazon provider9.38.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache Airflow Amazon provider | v < 9.38.0 | 9.38.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.