つみかさね

CVE-2026-59243

Critical(9.8)

Apache Airflow (FAB) の認証バイパス CVE-2026-59243：影響範囲と対応方法

公開日: 2026-09-17データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache Airflow (FAB auth manager)Apache修正版より前（Azure AD OAuthログインを既定設定で使用時）

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1FAB auth manager と Azure AD OAuth ログインの利用有無を確認する
  2. 2修正版へアップデートし、IDトークンの署名検証を有効化する
  3. 3アップデートが困難な場合はAzure AD OAuthログイン経路を一時停止する

影響対象

Apache Airflow の FAB auth manager 利用者Azure AD OAuth ログインを既定設定で使う環境

対応不要な人

  • ✓FAB auth manager を使用していない
  • ✓Azure AD OAuth ログインを使用していない
  • ✓既に修正版へ更新済み

補足

  • -Adminロールへのなりすましが可能なため、外部公開環境では最優先で対応してください
CVEApache Airflow認証バイパスOAuth

30秒で判断

  • 対応すべき人: Apache Airflow を FAB auth manager + Azure AD OAuth ログインの既定設定で運用している方
  • 対応不要な人: FAB auth manager を使っていない、Azure AD OAuth ログインを使っていない、既に修正版へ更新済みの方
  • 確認コマンド: airflow version と auth_manager 設定（Azure AD OAuth有効化の有無）を確認
  • クイックアクション: 修正版へ更新し、IDトークンの署名検証を有効化

概要

Apache Airflow の FAB auth manager による Azure AD OAuth ログインは、IDトークンをデコードする際に verify_signature=False を 既定で使用 していました。このため、偽造または未署名（alg:none）のIDトークンをOAuthコールバックに提示できる攻撃者が、認証を回避して任意のユーザー（Adminロールを持つユーザーを含む）としてログイン できます（CWE-347: 暗号署名の不適切な検証）。

CVSSスコアは 9.8（Critical） です。

CVSSベクトル

項目値
CVSSスコア9.8
深刻度Critical
CWECWE-347

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache Airflow (FAB auth manager)Apache修正版より前（Azure AD OAuthログインを既定設定で使用時）

修正バージョンと回避策

Apache のアドバイザリ（PR #69374）に従い、修正版へアップデートしてください。アップデートが難しい場合は、Azure AD OAuth ログイン経路の一時停止や、IDトークンの署名検証を強制する設定の適用を優先してください。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-59243
GitHub PRhttps://github.com/apache/airflow/pull/69374
Apache Mailing Listhttps://lists.apache.org/thread/x4784l7z00tl3gw4tv2dmvoon77rxgpl

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-59243
GitHub PR:https://github.com/apache/airflow/pull/69374
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。