CVE-2026-41017: Usikker cookie i Apache Airflow

CVE-2026-41017 er en fejl i Apache Airflow, et populært værktøj til at planlægge og overvåge dataarbejdsgange. Fejlen ligger i komponenten JWTRefreshMiddleware, som sætter en login-cookie (en JWT, et krypteret login-bevis, der gemmes i browseren) uden det såkaldte Secure-flag. Secure-flaget fortæller browseren, at cookien kun må sendes over krypteret HTTPS. Uden flaget kan cookien også blive sendt over almindelig ukrypteret HTTP, selvom hele opsætningen ellers bruger HTTPS via en proxy foran Airflow.

Rammer alle, der kører Apache Airflow version 3.0.0 til og med 3.2.1. Det gælder især opsætninger, hvor Airflow’s API-server ligger bag en reverse proxy eller load balancer, der håndterer HTTPS-krypteringen og sender ukrypteret trafik videre internt, for eksempel nginx, Envoy eller en administreret cloud-load balancer. Det er den mest almindelige måde at drive Airflow på i cloud-miljøer, så mange danske virksomheder med Airflow i produktion er potentielt berørt.

En angriber, der har adgang til samme netværk som en logget ind bruger, for eksempel via et usikret Wi-Fi, et kompromitteret lokalnetværk eller en falsk captive-portal, kan narre brugerens browser til at sende en almindelig HTTP-forespørgsel til Airflow-serverens navn. Fordi cookien mangler Secure-flaget, følger login-beviset med i den ukrypterede forespørgsel, og angriberen kan opsnappe den. Med cookien i hånden kan angriberen efterfølgende logge ind som brugeren i Airflow’s API og se data og konfiguration, som brugeren har adgang til.

CVSS-score er 5,9 ud af 10, moderat risiko. Angrebet kræver ikke login og ingen handling fra offeret ud over at bruge sin browser normalt, men det kræver, at angriberen sidder et bestemt sted på netværket mellem brugeren og serveren, hvilket giver høj angrebskompleksitet. Konsekvensen er begrænset til fortrolighed, altså at angriberen kan se data, mens systemets integritet og tilgængelighed ikke påvirkes direkte. Der er ikke oplysninger om, at fejlen udnyttes aktivt i skarpe angreb.

Sådan lukker I hullet og reducerer risikoen, mens I opgraderer:

1. Opgradér Apache Airflow til version 3.2.2 eller nyere, hvor Secure-flaget er rettet på cookien.
2. Kan I ikke opgradere med det samme, så konfigurér jeres reverse proxy til at tvinge omdirigering fra HTTP til HTTPS, så ukrypterede forespørgsler til Airflow-hostnavnet aldrig når frem.
3. Gennemgå netværksadgangen til jeres Airflow-miljø, og begræns hvem der kan sidde på samme netværkssegment som brugerne, for eksempel via VLAN-adskillelse eller VPN-krav.
4. Overvej at rulle brugernes sessioner ud og tvinge ny login efter opgraderingen, så eventuelt kompromitterede cookies bliver ugyldige.
5. Log og overvåg unormale API-kald til Airflow i perioden efter offentliggørelsen.
6. Hvis I ikke selv har ressourcer til at vurdere jeres proxy-opsætning eller gennemføre opgraderingen, så få hjælp fra en ekstern sikkerhedsrådgiver.