Apache Airflow FAB provider: смена пароля не завершает сессии в БД (CVE-2026-86462)
В Apache Airflow FAB provider смена пароля через Admin PATCH-эндпоинт не аннулирует уже существующие сессии пользователя, хранящиеся в БД. Злоумышленник, успевший скопировать сессионную cookie, сохраняет полный доступ к аккаунту даже после смены пароля. Критично для развёртываний с FAB auth manager и БД-сессиями.
Подробности
Уязвимость затрагивает Apache Software Foundation Apache Airflow FAB provider. Согласно описанию, смена пароля пользователя через Admin user-edit PATCH endpoint не инвалидирует его существующие database-backed сессии. Атакующий, который уже располагает копией сессионной cookie жертвы, сохраняет полный доступ к её аккаунту после смены пароля — сброс пароля его не вытесняет. Под удар попадают развёртывания, использующие FAB auth manager с сессиями, хранящимися в базе данных. Триггером выступает рутинная смена пароля, выполняемая администратором или самим пользователем. При этом взаимодействие атакующего с эндпоинтом не требуется: достаточно, чтобы у него уже была действующая сессионная cookie. Важная деталь: это второй, независимый путь к тому же результату, который закрывала CVE-2026-82311. Та уязвимость была связана со сравнением идентификаторов во вспомогательной функции инвалидации сессий. Однако исправление CVE-2026-82311 не закрывает текущую проблему, поскольку PATCH-путь вообще не вызывает эту функцию. Следовательно, развёртывания, применившие фикс CVE-2026-82311, должны выполнить обновление и для этой уязвимости. Значение CVSS в предоставленной записи CVE не указано.Что делать
Рекомендуется обновить пакет apache-airflow-providers-fab до версии 3.9.0 или более поздней — именно в ней устранена проблема. Одного обновления до версии, закрывающей CVE-2026-82311, недостаточно: эти исправления затрагивают разные пути выполнения кода и не заменяют друг друга. Помимо обновления, следует исходить из того, что до установки патча смена пароля не является надёжной мерой вытеснения злоумышленника. В качестве дополнительных мер митигации имеет смысл рассмотреть принудительный сброс всех активных сессий на уровне хранилища сессий или перезапуск/очистку серверных сессий в БД при подозрении на компрометацию, а также ограничение времени жизни сессионных cookie. После обновления стоит убедиться, что смена пароля действительно приводит к завершению прежних сессий.Итог
CVE-2026-86462 — это уязвимость недостаточной инвалидации сессий в Apache Airflow FAB provider, из-за которой скомпрометированная сессия переживает смену пароля. Она независима от ранее исправленной CVE-2026-82311, поэтому требует отдельного обновления. Единственная надёжная рекомендация — переход на apache-airflow-providers-fab 3.9.0 или новее.Источник: CVE Project (cvelistV5)