🔴 《严重安全漏洞：CVE-2026-59243》

CVSS 评分: 严重（9.8）　　状态: Received　　发布时间: 2026-07-29

漏洞简介

CVE-2026-59243 涉及 Apache Airflow 的 FAB（Flask App Builder）认证管理器中的 Azure AD OAuth 登录功能。该漏洞源于在解码身份令牌（ID token）时，verify_signature 参数默认设置为 False（CWE-347：未正确验证签名的安全漏洞）。这意味着攻击者如果能够向 OAuth 回调端点提交一个伪造的或未签名的（例如使用 alg:none 算法的）身份令牌，就可以绕过身份验证，并以任意用户身份登录系统，包括拥有管理员（Admin）角色的用户。

该漏洞影响使用 FAB 认证管理器且采用 Azure AD OAuth 登录路径的部署环境（在默认配置下）。值得注意的是，Authentik 路径已经默认将 verify_signature 设置为 True，因此不受此问题影响。

此漏洞影响 apache-airflow-providers-fab 3.7.3 之前的版本。官方建议用户升级到 apache-airflow-providers-fab 3.7.3，该版本已将 verify_signature 默认值改为 True。

影响范围

  • 受影响组件：apache-airflow-providers-fab
  • 受影响版本：3.7.3 之前的所有版本
  • 修复版本：apache-airflow-providers-fab 3.7.3
  • 受影响配置：使用 FAB 认证管理器且采用 Azure AD OAuth 登录路径的默认配置

风险分析

  • 攻击向量：网络远程攻击（AV:N），攻击者无需认证（PR:N）且无需用户交互（UI:N）
  • 攻击复杂度：低（AC:L），因为攻击者只需构造一个伪造的或未签名的身份令牌即可
  • 影响范围：不涉及权限提升或横向移动，但攻击者可直接获得任意用户身份（包括管理员）
  • 机密性影响：高（C:H），攻击者可以访问被冒充用户的所有数据
  • 完整性影响：高（I:H），攻击者可以以被冒充用户的身份执行任意操作
  • 可用性影响：高（A:H），攻击者可能通过管理员权限破坏系统可用性
  • CVSS 评分：9.8（严重），对应 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

可能的攻击后果：

  • 攻击者可以完全绕过身份验证，以任意用户（包括管理员）身份登录 Apache Airflow 系统
  • 获取敏感数据、修改工作流配置、执行恶意代码或破坏系统正常运行
  • 由于管理员权限可被直接获取，整个 Airflow 集群的安全性可能被彻底攻破

🔍 技术细节

字段 值
CVE ID CVE-2026-59243
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-347
发布时间 2026-07-29
最后更新 2026-07-29
状态 Received
数据来源 security@apache.org

🔗 参考链接