CVE-2026-76186

Apache Airflow Keycloak sağlayıcısı: Airflow 3.3 sürümünden itibaren Keycloak kimlik doğrulama yöneticisi, kullanıcının kimliğini imzalı Airflow oturum belirtecinden alırken; her yetkilendirme kararında kullanılan Keycloak erişim ve yenileme belirteçlerini ayrı, kimlik doğrulanmamış çerezlerden alır ve bu ikisinin aynı özneyi tanımlayıp tanımlamadığını hiçbir zaman kontrol etmez. Kendi geçerli Airflow girişine sahip olan bir kullanıcı, bant dışı yollarla elde edilmiş başka bir özneye ait Keycloak erişim veya yenileme belirteciyle birlikte bu ikisini eşleştirebilir: Bu durumda Airflow, istekleri yabancı belirtecin ayrıcalıklarıyla yetkilendirirken; oturum kimliği, denetim günlüğü ve önbellek anahtarları saldırganın kendi hesabını belirtmeye devam eder. Yenileme yolu, yabancı belirteçleri taşıyan orijinal kimlik için yeni bir Airflow oturum belirteci düzenler, böylece uyumsuz eşleşme oturumlar arasında korunur. Keycloak kimlik doğrulama yöneticisi ile Airflow 3.3 veya daha yeni sürümlerini çalıştıran dağıtımlar etkilenmektedir. Önceki sürümlerde Keycloak belirteçleri imzalı oturum belirtecinin içinde yer alıyordu, dolayısıyla bağlama mevcuttu ancak bunlar ayrı çerezlere taşındığında bu bağ kayboldu. apache-airflow-providers-keycloak kullanıcılarının, çerezle sağlanan belirteçleri oturum kimliğine bağlayan 0.10.0 veya daha yeni bir sürüme yükseltmeleri önerilir.