Cyber ·
CVE-2026-86467: CSRF no login SAML do gerenciador de autenticação AWS do Apache Airflow
Falha de CSRF no fluxo de login SAML do gerenciador de autenticação AWS do Apache Airflow Amazon provider, com gravidade moderada, corrigida na versão 9.38.0.
Em 19 de outubro de 2026, a lista oss-sec publicou o aviso CVE-2026-86467 sobre o Apache Airflow Amazon provider. Segundo o texto, o fluxo de login SAML do gerenciador de autenticação AWS não vincula a resposta de autenticação ao navegador que a iniciou. O manipulador de login descarta o identificador da AuthnRequest, e o callback valida a asserção sem exigir um InResponseTo correspondente. Com isso, um atacante não autenticado que consiga levar uma vítima a carregar uma página preparada pode fazer com que ela seja conectada à conta do atacante. A gravidade é classificada como moderada. Estão afetadas as versões anteriores à 9.38.0 do provider. Para verificar se o seu ambiente está exposto, confira a versão instalada do pacote Amazon provider e compare com a lista de versões afetadas no aviso original, consultado diretamente na lista oss-sec. A correção indicada é atualizar para a versão 9.38.0 ou superior. A Rota Nacional não corrige pacotes de orquestração do seu ambiente; este é um caso de atualização de dependência e revisão da configuração de autenticação. Se você usar IA para estudar o aviso ou gerar um plano de correção, não cole tokens, cookies de sessão, credenciais, logs com identificadores de usuários ou endereços de e-mail. Remova esses dados antes. A plataforma detecta dados pessoais e aplica a política da organização, mas isso não substitui a aplicação do patch.