CVE-2026-59243
Açıklama
FAB kimlik doğrulama yöneticisinin Azure AD OAuth oturum açma özelliği, ID token çözümlenirken varsayılan olarak `verify_signature=False` kullanıyordu; bu nedenle OAuth geri çağrısına sahte veya imzasız (`alg:none`) bir ID token sunabilen bir saldırgan kimlik doğrulamayı atlatabilir ve Admin rolüne sahip bir kullanıcı da dahil olmak üzere rastgele bir kullanıcı olarak oturum açabilirdi (CWE-347). FAB kimlik doğrulama yöneticisini Azure AD OAuth oturum açma yoluyla varsayılan yapılandırmasında çalıştıran kurulumlar etkilenir; Authentik yolu zaten varsayılan olarak `True` kullanıyordu. Bu sorun, 3.7.3 öncesi `apache-airflow-providers-fab` sürümlerini etkiler. Kullanıcıların, varsayılan olarak `verify_signature=True` kullanan `apache-airflow-providers-fab` 3.7.3 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache apache-airflow-providers-fab3.7.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache apache-airflow-providers-fab | v < 3.7.3 | 3.7.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.