Уязвимость в Apache Airflow Fab Provider позволяет удалённо повысить привилегии

В компоненте аутентификации Apache Airflow, построенном на основе Flask App Builder, обнаружена уязвимость, позволяющая удалённому злоумышленнику повысить привилегии и получить доступ к защищаемой информации. Проблема связана с некорректной проверкой криптографической подписи. Она затрагивает все версии Fab Provider до 3.7.3 включительно, разработчики уже выпустили исправление.

Детали уязвимости

Apache Airflow представляет собой платформу с открытым исходным кодом для оркестрации рабочих процессов. С её помощью автоматизируют задачи обработки данных, строят конвейеры данных, интегрируют различные сервисы. Компонент Fab Provider является надстройкой над Flask App Builder - популярным фреймворком для создания веб-приложений на языке Python. В Airflow этот компонент отвечает за управление аутентификацией пользователей, то есть за проверку их учётных данных и выдачу прав доступа.

Уязвимость получила идентификаторы BDU:2026-10701 и CVE-2026-59243. По шкале CVSS 3.1 ей присвоен балл 9,8 из 10, что соответствует критическому уровню опасности. Причина - ошибка проверки подписи в менеджере аутентификации FAB. Это означает, что программное обеспечение недостаточно строго проверяет криптографическую подпись, которая подтверждает подлинность данных. В результате злоумышленник может подделать токен или другой идентификационный признак, чтобы выдать себя за легитимного пользователя. Такая атака не требует учётных данных жертвы и выполняется удалённо.

Для эксплуатации уязвимости достаточно отправить специально сформированный запрос к уязвимому компоненту. Взаимодействие с пользователем не требуется, поэтому атака может быть полностью автоматизирована. В открытом доступе уже опубликован эксплойт - вредоносный код, который использует эту ошибку. Наличие готового инструмента существенно снижает порог входа для злоумышленников, поскольку им не нужно самостоятельно разрабатывать атаку. Кроме того, уязвимость подтверждена производителем, что говорит о её реальности и серьёзности.

Информация об уязвимости официально подтверждена Apache Software Foundation. В бюллетене производителя указано, что проблема затрагивает все выпуски Fab Provider до 3.7.3. Это означает, что большое количество установок Airflow по всему миру потенциально подвержены риску, особенно если они используют более ранние версии компонента. В связи с высокой степенью опасности уязвимость также внесена в Базу данных угроз безопасности информации (BDU).

Последствия успешной эксплуатации могут быть тяжёлыми. Получив доступ к системе под учётной записью администратора, злоумышленник сможет просматривать, изменять или удалять данные, управлять конфигурацией Airflow, а также получать доступ к подключённым внешним системам. Поскольку Airflow часто используется в корпоративной среде и работает с конфиденциальной информацией, это может привести к утечке данных, нарушению бизнес-процессов и финансовым потерям. В некоторых случаях через Airflow можно получить доступ к другим сервисам организации, что расширяет масштаб атаки.

Особую опасность представляет то, что уязвимость эксплуатируется удалённо. Системы, которые открыты для доступа из интернета или находятся в недостаточно сегментированных сетях, подвергаются наибольшему риску. В отличие от ошибок, требующих локального доступа, эту атаку можно провести с любого компьютера, имеющего сетевую связь с целевой системой. Поэтому критически важно не только установить обновление, но и проверить, не был ли компонент уже скомпрометирован. Для обнаружения возможных следов атаки стоит обратить внимание на необычные запросы к интерфейсу аутентификации и появление новых учётных записей.

Ошибки проверки криптографической подписи относятся к классу CWE-347. Они возникают, когда программа не проверяет подлинность подписи или делает это недостаточно строго. В веб-приложениях такие ошибки нередко становятся причиной подделки сессий, обхода механизмов авторизации и повышения привилегий. Данная уязвимость не уникальна для Airflow, однако её критичность усиливается широким распространением платформы и тем уровнем доверия, который она получает внутри инфраструктуры.

Производитель подтвердил уязвимость и устранил её в версии 3.7.3 компонента Fab Provider. Пользователям необходимо обновить затронутый компонент до актуальной версии. Если обновление невозможно выполнить немедленно, рекомендуется ограничить доступ к интерфейсу Airflow, например, закрыть его от внешней сети или использовать сетевые экраны. Также стоит проверить журналы аутентификации на предмет подозрительных событий, чтобы выявить возможные попытки эксплуатации. Учитывая, что эксплойт уже доступен, задержка с обновлением значительно повышает риск компрометации.

Эта уязвимость привлекает внимание к проблеме безопасности систем оркестрации и автоматизации. Такие платформы становятся всё более популярными, а вместе с этим растёт и интерес злоумышленников к их уязвимостям. Разработчики оперативно выпустили исправление, однако ответственность за его установку лежит на пользователях. Организациям, использующим Apache Airflow, следует не только обновить компонент, но и пересмотреть общую модель доступа к критическим системам, чтобы снизить потенциальный ущерб от подобных ошибок в будущем.

Детали уязвимости

Ссылки