Admin-Sicherheitslücke bedroht Apache Airflow mit FAB-Authentifizierung

Sicherheitslücke in Apache Airflow: Administratoren sollten handeln

Die Workflow-Orchestrierungsplattform Apache Airflow ist von einer schwerwiegenden Sicherheitslücke betroffen, die es Angreifern unter spezifischen Voraussetzungen ermöglichen kann, administrative Rechte auf betroffenen Systemen zu erlangen. Die Schwachstelle, die unter der Kennung CVE-2026-59243 geführt wird, erlaubt es Unbefugten, Einstellungen zu manipulieren und potenziell weitere Teile der IT-Infrastruktur zu kompromittieren.

Voraussetzungen für einen erfolgreichen Angriff

Nicht jede Airflow-Installation ist gleichermaßen gefährdet. Damit die Schwachstelle ausgenutzt werden kann, müssen mehrere Faktoren zusammenkommen. Zunächst muss das Paket „Apache Airflow FAB provider“ (apache-airflow-providers-fab) installiert sein, wodurch das Authentifizierungssystem Flask AppBuilder (FAB) zum Einsatz kommt.

Zusätzlich muss als Authentifizierungsmethode Azure AD OAuth in der Standardkonfiguration aktiv sein. In dieser Konstellation liegt das Kernproblem: Der FAB Auth Manager verzichtet bei der Verwendung von Azure OAuth standardmäßig auf eine Überprüfung der JWT-Signatur (JSON Web Token). Da die Signaturprüfung deaktiviert ist, akzeptiert das System manipulierte ID-Tokens, ohne deren Echtheit zu verifizieren. Dies ermöglicht es Angreifern, sich als beliebiger Nutzer – einschließlich eines Administrators – auszugeben.

Risiken und Bedrohungslage

Sobald ein Angreifer erfolgreich als Administrator auf eine Airflow-Instanz zugreift, ergeben sich weitreichende Konsequenzen. Neben der Manipulation von Systemkonfigurationen können sensible Zugangsdaten abgegriffen werden. Dies dient häufig als Ausgangspunkt für weitere Angriffe innerhalb des Unternehmensnetzwerks, um zusätzliche Systeme zu übernehmen.

Obwohl für die Schwachstelle bereits eine CVE-Nummer vergeben wurde, steht eine offizielle Einstufung des Bedrohungsgrads durch cve.org noch aus. Dennoch wird die Lücke bereits als kritisch eingestuft, unter anderem durch das CERT Bund. Bisher liegen keine Berichte über eine aktive Ausnutzung der Sicherheitslücke in der Praxis vor.

Empfohlene Maßnahmen zur Absicherung

Um das Risiko zu minimieren, haben die Entwickler ein Sicherheitsupdate veröffentlicht. Die Schwachstelle wurde mit der Version 3.7.3 des „apache-airflow-providers-fab“-Pakets behoben. Alle vorangegangenen Versionen gelten als verwundbar.

Administratoren, die Apache Airflow in der beschriebenen Konfiguration einsetzen, sollten zeitnah prüfen, ob ihre Umgebung von der Schwachstelle betroffen ist. Ein Update auf die Version 3.7.3 oder höher ist dringend ratsam, um die fehlerhafte Signaturprüfung zu korrigieren und die Integrität der Plattform wiederherzustellen. Da es sich um eine Schwachstelle handelt, die den gesamten Authentifizierungsprozess umgehen kann, sollte die Aktualisierung priorisiert behandelt werden.