CVE-2026-86467: CSRF no login SAML do Amazon provider do Apache Airflow

O que aconteceu e o que fazer

O advisory CVE-2026-86467, publicado por Jarek Potiuk na lista oss-sec em 19 de outubro de 2026, classifica como moderada uma falha no fluxo de login SAML do gerenciador de autenticação AWS do Apache Airflow Amazon provider. Estão afetadas as versões anteriores à 9.38.0. O manipulador de login descarta o ID da AuthnRequest, e o callback valida a asserção sem exigir um InResponseTo correspondente. Com isso, um atacante não autenticado que consiga fazer a vítima carregar uma requisição preparada pode conectá-la à conta do próprio atacante.

Para uma empresa que roda Airflow em produção, o primeiro passo é inventariar todos os ambientes, inclusive desenvolvimento e homologação, e registrar a versão do Amazon provider em cada um. Onde o gerenciador de autenticação AWS com SAML estiver ativo, a atualização para a 9.38.0 ou posterior deve ser priorizada. Como medida complementar, é possível monitorar os logs de autenticação em busca de sessões iniciadas em contas não reconhecidas, logins seguidos de acesso a DAGs e conexões incomuns, e criar alertas para esses eventos. Um painel simples com a versão de cada provider por ambiente ajuda a acompanhar a correção sem depender de verificações manuais.

Como a consultoria pode ajudar

A Wendelmaques pode fazer um diagnóstico da exposição do seu Airflow a esta falha: inventário de versões do provider, mapeamento dos fluxos SAML ativos e avaliação dos logs de autenticação. Depois, implementamos a atualização planejada, o monitoramento de sessões suspeitas e um painel de versões por ambiente, com operação no seu próprio ambiente.

Próximo passo

Se a sua equipe usa Apache Airflow com login SAML pela AWS, envie uma descrição breve do seu cenário: versões em uso, número de ambientes e como o acesso é concedido. Com isso, preparamos uma proposta de escopo para diagnóstico e correção.