CVE-2026-82311: сброс пароля в Apache Airflow FAB не завершает активные сессии
В Apache Airflow FAB provider обнаружена уязвимость, из-за которой смена пароля пользователя не удаляет его существующие сессии в базе данных. Злоумышленник, уже укравший cookie сессии, сохраняет доступ к аккаунту даже после сброса пароля. Уязвимость затрагивает инсталляции с аутентификацией FAB и серверным хранилищем сессий.
Подробности
Уязвимость затрагивает Apache Airflow FAB provider. Согласно описанию, при сбросе пароля пользователя существующие сессии, хранящиеся в базе данных, не удаляются — вопреки задокументированному поведению, которое обещает обратное. Причина кроется в несоответствии типов при сравнении идентификаторов: механизм очистки сравнивает строковый идентификатор, который Flask-Login сохраняет в сессии, с целочисленным идентификатором пользователя в базе данных. Поскольку строковое и целочисленное значения никогда не совпадают, ни одна сессия не удаляется. Практическое следствие: злоумышленник, уже располагающий копией cookie сессии жертвы, сохраняет доступ к её учётной записи даже после того, как администратор или сам пользователь выполнит поддерживаемую команду сброса пароля. Таким образом, сброс пароля как мера локализации инцидента не вытесняет атакующего из системы. Уязвимость проявляется в развёртываниях, использующих FAB auth manager с настройкой `[fab] session_backend=database`. Триггером является выполнение администратором или самим пользователем поддерживаемой команды сброса пароля в качестве меры сдерживания после компрометации cookie сессии. Бэкенд secure-cookie вне области действия уязвимости, поскольку он документирует невозможность централизованного удаления сессий. Отдельно отмечается, что версия apache-airflow-providers-fab 3.9.0 также исправляет CVE-2026-86462 — вторую, независимую уязвимость, ведущую к тому же результату через endpoint редактирования пользователя в Admin. Одно обновление закрывает обе проблемы.Что делать
Пользователям apache-airflow-providers-fab рекомендуется обновить компонент до версии 3.9.0 или более поздней, в которой идентификаторы сравниваются корректно. Поскольку исправление охватывает сразу два CVE, единичное обновление закрывает обе уязвимости. До момента обновления следует учитывать, что сброс пароля не является достаточной мерой для вытеснения скомпрометированной сессии: необходимо дополнительно отзывать активные сессии или иным образом изолировать скомпрометированные учётные данные. Для развёртываний, где это применимо, стоит оценить переход на бэкенд secure-cookie с учётом его задокументированных ограничений. Итог: CVE-2026-82311 подрывает доверие к стандартной процедуре реагирования на компрометацию учётной записи в Airflow с FAB. Своевременное обновление до версии 3.9.0 устраняет проблему и закрывает связанную уязвимость CVE-2026-86462.Источник: CVE Project (cvelistV5)