Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 15 OCT · 21:39

CVE-2026-96806 El cierre de sesión no invalida la sesión en el gestor de autenticación Keycloak de Apache Airflow

El gestor de autenticación Keycloak de Apache Airflow no terminaba la sesión al cerrar sesión: la ruta de logout revocaba el token presentado, pero KeycloakJWTMiddleware emitía en la misma respuesta un token nuevo sin revocar, por lo que el usuario seguía autenticado. Están afectados los despliegues que usan el gestor de autenticación Keycloak: tras el cierre de sesión, cualquiera con acceso posterior al mismo navegador (por ejemplo en una estación compartida) puede seguir actuando como ese usuario. Se recomienda…

5.8MEDIA

CVSS 3.1

  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • Apache Software Foundation Apache Airflow Keycloak provider

    hasta antes de 0.11.1

Qué hacer

  1. Verificá si usás Apache Airflow Keycloak provider y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.8 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • AlcanceCambiado
  • ConfidencialidadBaja
  • IntegridadNinguna
  • DisponibilidadNinguna

Descripción original

The Apache Airflow Keycloak auth manager did not end the session on logout: the logout route revoked the presented token, but `KeycloakJWTMiddleware` then issued a new, unrevoked token on the same response, so the user stayed logged in. Deployments using the Keycloak auth manager are affected: after a user logs out, anyone with later access to the same browser (for example on a shared workstation) can continue to act as that user. Users of apache-airflow-providers-keycloak are recommended to upgrade to apache-airflow-providers-keycloak 0.11.1 or later.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.