CVE-2026-32794: Bypass della Verifica dei Certificati TLS nel Provider Databricks di Apache Airflow

Parole chiave: TLS, verifica dei certificati, MITM, Kubernetes, Databricks, OAuth, CWE-295, Apache Airflow

Indice

• Panoramica
• Dettagli della Vulnerabilità
• Analisi Tecnica
• Catena di Attacco
• Impatto
• Rimedio
• Cronologia
• Riferimenti
• Contatti
• Disclaimer

Panoramica

Il pacchetto apache-airflow-providers-databricks disabilita la verifica dei certificati TLS quando comunica con il server API di Kubernetes durante lo scambio di token federato. Sia il percorso di codice sincrono che quello asincrono utilizzano verify=False / ssl=False, consentendo a qualsiasi attaccante con accesso di rete all'interno del cluster K8s di intercettare la connessione (MITM) e rubare sia il JWT dell'account di servizio in-cluster sia il token OAuth di Databricks.

I commenti nel codice affermano che "K8s in-cluster utilizza certificati autofirmati", ma ciò non è corretto. Kubernetes fornisce un bundle CA in /var/run/secrets/kubernetes.io/serviceaccount/ca.crt proprio a questo scopo.

Dettagli della Vulnerabilità

Analisi Tecnica

Codice Vulnerabile

Riga 699 (percorso sincrono) - _get_k8s_token_request_api():

resp = requests.post(
    token_request_url,
    headers={
        "Authorization": f"Bearer {in_cluster_token}",
        "Content-Type": "application/json",
    },
    json=self._build_k8s_token_request_payload(audience, expiration_seconds),
    verify=False,  # K8s in-cluster uses self-signed certs
    timeout=self.token_timeout_seconds,
)

Riga 764 (percorso asincrono) - _a_get_k8s_token_request_api():

async with self._session.post(
    token_request_url,
    ...
    ssl=False,  # K8s in-cluster uses self-signed certs
)

Il Problema Centrale

Il commento afferma che "K8s in-cluster utilizza certificati autofirmati", ma Kubernetes fornisce un bundle CA attendibile in un percorso ben noto. L'approccio corretto è utilizzare quel bundle CA per la verifica piuttosto che disabilitare completamente TLS.

Pattern Sicuro

K8S_CA_CERT_PATH = "/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"

# Sync
resp = requests.post(token_request_url, ..., verify=K8S_CA_CERT_PATH)

# Async
ssl_ctx = ssl.create_default_context(cafile=K8S_CA_CERT_PATH)
async with self._session.post(token_request_url, ..., ssl=ssl_ctx)

Catena di Attacco

+----------------------------------------------------------+
|  1. ATTACKER GAINS POD ACCESS                            |
|     Compromised container or network namespace access     |
+---------------------------+------------------------------+
                            |
                            v
+----------------------------------------------------------+
|  2. MITM THE TOKEN EXCHANGE                              |
|     ARP spoof / DNS hijack within cluster network         |
|     Serve self-signed cert (accepted due to verify=False) |
+---------------------------+------------------------------+
                            |
                            v
+----------------------------------------------------------+
|  3. INTERCEPT CREDENTIALS                                |
|     - K8s service account JWT (Authorization header)      |
|     - Databricks OAuth token (response body)              |
+---------------------------+------------------------------+
                            |
                            v
+----------------------------------------------------------+
|  4. LATERAL MOVEMENT                                     |
|     Use stolen tokens for K8s API + Databricks access     |
+----------------------------------------------------------+

Impatto

Rimedio

PR correttiva: apache/airflow#63704

Il fix sostituisce verify=False con verify=K8S_CA_CERT_PATH utilizzando il bundle CA standard in-cluster di Kubernetes e sostituisce ssl=False con un contesto SSL configurato correttamente.

Cronologia

Riferimenti

• CVE-2026-32794
• PR correttiva: apache/airflow#63704
• CWE-295: Validazione Impropria dei Certificati
• Politica di Sicurezza di Apache Airflow

Contatti

• Sito web: snailsploit.com
• GitHub: @SnailSploit
• LinkedIn: /in/kaiaizen

Disclaimer

Questa segnalazione è pubblicata a scopo educativo e difensivo secondo i principi della divulgazione responsabile. Le informazioni fornite hanno lo scopo di aiutare sviluppatori e team di sicurezza a comprendere e correggere la vulnerabilità. Non utilizzare queste informazioni per test non autorizzati o scopi dannosi.

📚 Documentazione e Autore

Il writeup completo di questo progetto, la metodologia e le ricerche correlate sono disponibili su:

https://snailsploit.com/cves

Creato da Kai Aizen — ricercatore indipendente di sicurezza offensiva.

snailsploit.com · Ricerca · Framework · GitHub · LinkedIn · ResearchGate · X/Twitter

Stesso attacco. Substrato diverso.