Apache Airflow: Logout ignores a presented Authorization bearer token, leaving it revocable only by expiry

Apache Airflow: the Core API logout endpoint revokes only a session token presented as the _token cookie. When a client logs out presenting its credential as an Authorization bearer header instead, the endpoint returns its normal logout response but revokes nothing, so the token remains valid until it expires. An attacker who already holds a copy of that token keeps the victim's access after the victim has logged out and believes the session ended; the default token lifetime is 24 hours and is configurable. Affects API clients that authenticate with a bearer token rather than the browser session cookie. The attacker must already possess a copy of a valid token; obtaining one is outside the scope of this issue, and no privileges beyond the victim's own are gained. Users of apache-airflow are recommended to upgrade to apache-airflow version 3.3.2 or later, which fixes the issue.

Ein Angreifer kann mehrere Schwachstellen in Apache Airflow ausnutzen, um Informationen offenzulegen, falsche Informationen darzustellen oder Sicherheitsmaßnahmen zu umgehen.

Rilasciati aggiornamenti di sicurezza che risolvono tre vulnerabilità, di cui una con gravità "critica”, in Apache Airflow. Tale vulnerabilità, qualora sfruttata, consentirebbe ad un utente malintenzionato di eludere le funzionalità di sicurezza sui sistemi interessati.

Apache AirflowのコアAPIのログアウトエンドポイントは、_tokenクッキーとして提示されたセッショントークンのみを取り消します。クライアントがAuthorizationベアラーヘッダーとして資格情報を提示してログアウトする場合、エンドポイントは通常のログアウトレスポンスを返しますが、トークンを取り消さないため、そのトークンは有効期限が切れるまで有効なままです。攻撃者がすでにそのトークンのコピーを持っている場合、被害者がログアウトしてセッションが終了したと思っていても、被害者のアクセスを維持することが可能です。デフォルトのトークン有効期間は24時間で、設定が可能です。ベアラートークンで認証するAPIクライアントに影響があります。攻撃者は有効なトークンのコピーをあらかじめ持っていなければならず、その入手方法は本問題の範囲外であり、被害者自身の権限を超える特権を得ることはありません。apache-airflowの利用者には、本問題を修正したapache-airflowバージョン3.3.2以降へのアップグレードを推奨します。