Apache Airflow ist nach Angaben der Quelle verwundbar, wenn das Paket apache-airflow-providers-fab installiert ist und zusätzlich Azure AD Oauth in der Standardkonfiguration aktiv ist. In dieser Kombination können Angreifer mit gefälschten ID-Tokens ansetzen und sich als beliebiger Nutzer, auch als Admin, ausgeben.
Betroffen ist die Workflow-Orchestrierungsplattform Apache Airflow. Die Lücke trägt die Kennung CVE-2026-59243 und betrifft nur Instanzen, auf denen das Paket Apache Airflow FAB provider installiert ist. Dann wird das Authentifizierungssystem FAB, also Flask AppBuilder, genutzt.
Zusätzlich muss Azure AD Oauth in der Standardkonfiguration aktiv sein. Laut Quelle fehlt dabei die JWT-Signaturprüfung im FAB Auth Manager, weil verify_signature=False gesetzt ist. Dadurch akzeptiert FAB den Zugriff, obwohl die Signatur des Tokens nicht geprüft wird. Weitere Informationen zum Netzwerk gibt es bei The Circle.
Eine offizielle Einstufung auf cve.org steht noch aus. Das CERT Bund stuft die Schwachstelle in einem Beitrag als kritisch ein. Auch die Quelle geht davon aus, dass die Lage in diese Richtung weist.
Nach Angaben der Entwickler ist das Problem in Apache Airflow FAB provider 3.7.3 behoben. Alle vorigen Versionen gelten demnach als verwundbar. Berichte über bereits laufende Angriffe gibt es derzeit nicht.
Die Quelle nennt mehrere Bausteine, die zusammenkommen müssen. apache-airflow-providers-fab ist das Paket, das das FAB-Authentifizierungssystem in Airflow einbindet. Azure AD Oauth ist hier die Authentifizierungsmethode, die in der Standardkonfiguration aktiv sein muss.
JWT-Signatur-Verifikation bedeutet, dass die Signatur eines Tokens geprüft wird. Laut Quelle ist diese Prüfung bei verify_signature=False deaktiviert. Genau daraus entsteht das Problem: FAB akzeptiert den Zugriff auch dann, wenn das Token nicht korrekt verifiziert wurde.
Wenn die Bedingungen erfüllt sind, können Angreifer laut Beschreibung als beliebiger Nutzer auf die Instanz zugreifen, einschließlich eines Admins. Damit erhalten sie Zugriff auf Funktionen, die ihnen eigentlich nicht zustehen.
Die Quelle nennt als mögliche Folge, dass Angreifer Zugangsdaten abgreifen können. Von dort aus könnten sie weitere Computer in der IT-Infrastruktur kompromittieren.
Als konkrete Maßnahme nennt die Quelle die reparierte Version apache-airflow-providers-fab 3.7.3. Die Entwickler geben an, das Problem dort behoben zu haben. Für alle älteren Versionen wird Verwundbarkeit beschrieben.
Außerdem ist entscheidend, ob die betroffene Kombination überhaupt eingesetzt wird: installiertes FAB-Paket und Azure AD Oauth in der Standardkonfiguration. Wer auf solche Meldungen systematisch achten will, findet dazu auch Hinweise auf Veranstaltungen.
Die zentrale Aussage bleibt: Erst wenn die beschriebenen Voraussetzungen zusammenkommen, ist Apache Airflow angreifbar. Ein aktiver Missbrauch ist laut Quelle bisher nicht bekannt. Die offene Frage ist damit vor allem, wie schnell betroffene Installationen auf die reparierte Version umgestellt werden.
Wenn Sie solche sicherheitsrelevanten Themen mit anderen Errichtern besprechen wollen, kann ein Austausch im The Circle of Security Professionals sinnvoll sein. Dort treffen sich bis zu 60 inhabergeführte Errichter mit technischem Außendienst, die Kooperation und offenen Austausch schätzen.
Quelle: Heise