Apache Airflow Amazon provider: Login-CSRF im SAML-Login des AWS Auth Managers
Zusammenfassung
Der AWS Auth Manager des Apache Airflow Amazon Providers bindet die SAML-Authentifizierungsantwort nicht an den Browser, der den Login gestartet hat. Ein nicht authentifizierter Angreifer, der einen Benutzer dazu bringen kann, eine von ihm kontrollierte Seite zu laden, kann im Browser des Opfers einen SAML-Login mit seiner eigenen signierten Assertion abschliessen. Das Opfer wird dadurch stillschweigend im Airflow-Konto des Angreifers angemeldet, und spätere Arbeiten in dieser Sitzung sind für den Angreifer sichtbar. Der Angreifer benötigt kein Airflow-Konto, und das Problem betrifft nur Installationen mit dem AWS Auth Manager und SAML.
Betroffen
- apache-airflow-providers-amazon Versionen 0 bis vor 9.38.0
- Nur Installationen mit dem AWS Auth Manager und SAML-Authentifizierung
- Standardkonfiguration laut CNA-Eintrag nicht betroffen
Behoben in
- apache-airflow-providers-amazon auf 9.38.0 oder neuer aktualisieren (9.38.0 ist die minimale korrigierte Version)
- Korrektur: PR #73698 bindet die SAML-Antwort an die AuthnRequest-ID des eigenen Logins des Browsers
Umgehung
- Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden.
- Zugriff auf die Airflow-Weboberfläche bis zur Aktualisierung einschränken.
- Die neue Option allow_idp_initiated_login nur bei Bedarf aktivieren; sie ist standardmässig auf False gesetzt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
- Nicht im Katalog CISA KEV gelistet.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof of Concept bekannt; dies beweist jedoch nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen, ob eine Airflow-Umgebung den AWS Auth Manager mit SAML verwendet.
- Falls betroffen, apache-airflow-providers-amazon auf 9.38.0 oder neuer aktualisieren.
- Bis dahin den Zugriff auf die Airflow-Oberfläche einschränken und Benutzer anweisen, bei angemeldetem Zustand keine unbekannten Links zu öffnen.
- Logs auf unerwartete SAML-Logins und Sitzungswechsel prüfen.
- Die Bewertung durch Apache und NVD abwarten, die zum Zeitpunkt dieses Eintrags noch ausstand.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Airflow PR #73698: Bind the AWS auth manager SAML response to the browser github.com
- Apache mailing list thread lists.apache.org
- OpenCVE: CVE-2026-86467 app.opencve.io
- VulDB: CVE-2026-86467 vuldb.com
- Airflow Amazon provider documentation airflow.apache.org
- PyPI: apache-airflow-providers-amazon 9.38.0 pypi.org
- SecNews.gr: CVE-2026-86467 SAML CSRF www.secnews.gr
- ThreatInt: CVE-2026-86467 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.