CVE-2026-59245: Rettighedsfejl i Apache Airflow FAB
Fejl i Apache Airflow Providers FAB giver brugere med adgang til én DAG fuld adgang til alle DAG’s. Opdatér til 3.7.2.
Hvad er det?
Sårbarheden (CVE-2026-59245) findes i FAB auth manager, den adgangsstyringsmodul Apache Airflow bruger til at afgøre, hvem der må se og redigere hvilke arbejdsgange, kaldet DAG’s. Hvis en DAG hedder præcis “DAGs”, kolliderer dens interne navn med det navn, systemet bruger til den globale tilladelse “adgang til alle DAG’s”. Resultatet er, at en bruger, som kun er givet rettigheder til den ene DAG, automatisk får læse- og redigeringsadgang til samtlige DAG’s i installationen. Fejlen skyldes forkert håndtering af rettigheder, klassificeret som CWE-269.
Hvem rammer det?
Det rammer organisationer, der kører Apache Airflow med apache-airflow-providers-fab i en version ældre end 3.7.2, og som bruger FAB auth manager til at styre, hvem der har adgang til hvilke DAG’s. Risikoen er reel, hvis der findes eller kan oprettes en DAG med navnet “DAGs”, og hvis I giver enkeltbrugere eller eksterne konsulenter afgrænset adgang til bestemte DAG’s frem for fuld administratoradgang.
Hvad kan ske?
En bruger, der kun burde kunne se en enkelt arbejdsgang, kan i praksis læse og ændre alle DAG’s i systemet. Det kan betyde adgang til datapipelines med kundedata, forretningslogik eller adgangsnøgler indlejret i DAG-koden, samt mulighed for at ændre andre teams’ automatiserede processer. Der er ingen risiko for, at systemet går ned som følge af fejlen, men fortrolighed og integritet er direkte i spil.
Hvor alvorligt er det?
CVSS-scoren er 8,1 af 10, alvorlig. Angrebet kræver ikke brugerinteraktion og kan udføres over netværk, men forudsætter, at angriberen allerede har en lavt privilegeret konto med adgang til mindst én DAG. Der er ikke behov for administratorrettigheder på forhånd. Der er ingen offentligt kendte tilfælde af aktiv udnyttelse, og fejlen kræver en specifik navngivning (“DAGs”) for at kunne udnyttes, men den er let at udløse, hvis betingelsen er opfyldt.
Hvad gør jeg nu?
Følgende trin lukker sårbarheden og reducerer risikoen, mens I opdaterer.
- Opdatér apache-airflow-providers-fab til version 3.7.2 eller nyere. Det retter navnekollisionen og lukker hullet.
- Gennemgå jeres eksisterende DAG’s for, om en af dem hedder “DAGs”, og omdøb den, hvis muligt, inden opdateringen er gennemført.
- Gennemgå tildelte per-DAG rettigheder i FAB og vurder, om nogen brugere allerede har fået uventet bred adgang.
- Log adgang til DAG’s i en periode efter opdateringen for at fange eventuelle rester af forkert tildelte rettigheder.
- Kontakt Auroa, hvis I ikke selv har ressourcer til at teste opdateringen mod jeres eksisterende DAG’s og integrationer, inden den rulles ud i produktion.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer apache-airflow-providers-fab til 3.7.2 inden for de næste to uger, og at I i samme ombæring gennemgår, hvilke DAG’s de enkelte brugere reelt har adgang til. Det er acceptabelt at vente til jeres næste planlagte opdateringsvindue, hvis I i mellemtiden bekræfter, at ingen DAG i jeres system hedder “DAGs”, og at I ikke har eksterne eller lavt privilegerede brugere med adgang til enkelte DAG’s.
Tidslinje
Konkrete eksempler
Ekstern konsulent med afgrænset rapportadgang
En dansk virksomhed giver en ekstern konsulent adgang til en enkelt DAG kaldet “DAGs”, som bruges til at generere en ugentlig rapport. Uden virksomhedens vidende får konsulenten dermed læse- og redigeringsadgang til samtlige DAG’s i systemet, herunder pipelines med kundedata og systemadgangsnøgler. Fejlen opdages først, når IT gennemgår logs efter en rutinemæssig sikkerhedsaudit.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis I kører Apache Airflow med apache-airflow-providers-fab i en version ældre end 3.7.2, og bruger FAB auth manager til at give brugere adgang til enkelte DAG’s frem for hele systemet.
Hvordan tjekker vi, om vi er sårbare?
Tjek jeres installerede version af apache-airflow-providers-fab, og gennemgå listen over DAG’s for en, der hedder præcis “DAGs”. Findes den ikke, er den umiddelbare risiko lav, men opdateringen bør stadig gennemføres.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I har bekræftet, at ingen DAG hedder “DAGs”, og at ingen lavt privilegerede brugere har fået afgrænset adgang til enkelte DAG’s. Ellers bør opdateringen prioriteres inden for de kommende dage.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I kan dokumentere, at en bruger reelt har udnyttet fejlen til at få uautoriseret adgang til persondata. Sårbarheden i sig selv, uden konstateret misbrug, udløser ikke en anmeldelsespligt.
Kræver opdateringen nedetid?
Opdatering af en Python-pakke som apache-airflow-providers-fab kræver typisk en genstart af Airflow-webserveren og scheduleren, hvilket bør planlægges som en kort, kontrolleret nedetid uden for driftskritiske vinduer.
Påvirker fejlen selve Airflow-kernen?
Nej, fejlen findes specifikt i providers-fab-pakken, som leverer FAB auth manager. Kører I med en anden auth manager, er I ikke berørt af denne konkrete sårbarhed.
Ramte produkter
Apache: Apache Airflow Providers Fab
< 3.7.2
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
In the Apache Airflow FAB auth manager, a DAG whose `dag_id` is `DAGs` collided with the global all-DAGs permission resource name produced by `resource_name()`, so a user granted per-DAG `access_control` on that one DAG was silently granted the global all-DAGs permission (privilege escalation). The escalation triggers when a DAG named `DAGs` exists and a lower-privileged user is given per-DAG access to it, granting that user read/edit access to every DAG. Users are advised to upgrade to `apache-airflow-providers-fab` 3.7.2 or later, which disambiguates the resource-name collision.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.