یک نقص امنیتی در Core API پلتفرم Apache Airflow شناسایی شده است که منجر به باقی ماندن دسترسی‌های کاربر پس از عملیات خروج (Logout) می‌شود. این آسیب‌پذیری زمانی رخ می‌دهد که کاربر برای احراز هویت از Authorization bearer header استفاده کند.
تحلیل فنی مشکل
در حالت عادی، Endpoint مربوط به خروج از سیستم در Apache Airflow تنها توکن‌های ارسالی در قالب کوکی _token را ابطال می‌کند. چنانچه کلاینت برای ارسال اعتبارنامه خود از Header مدل Bearer استفاده کرده باشد، سیستم پاسخ موفقیت‌آمیز (Logout Response) را بازمی‌گرداند، اما در واقعیت هیچ توکنی در سمت سرور ابطال نمی‌شود.
سناریوی حمله و ریسک‌ها
- تداوم دسترسی: در صورتی که یک مهاجم پیش از این موفق به سرقت توکن کاربر شده باشد، حتی پس از اینکه کاربر دکمه خروج را زده و تصور کند نشست (Session) به پایان رسیده است، مهاجم همچنان می‌تواند از آن توکن برای دسترسی به سیستم استفاده کند.
- پنجره زمانی حمله: با توجه به اینکه زمان اعتبار پیش‌فرض توکن‌ها در این پلتفرم 24 ساعت است، مهاجم بازه زمانی قابل توجهی برای بهره‌برداری از دسترسی‌های غیرمجاز خواهد داشت.
این نقص امنیتی به طور مستقیم Session Management را تحت تأثیر قرار داده و ریسک دسترسی‌های غیرمجاز در محیط‌های حساس را افزایش می‌دهد.
