CVE-2026-32794: Bypass de Verificação de Certificado TLS no Apache Airflow Databricks Provider

Palavras-chave: TLS, verificação de certificado, MITM, Kubernetes, Databricks, OAuth, CWE-295, Apache Airflow

Índice

• Visão Geral
• Detalhes da Vulnerabilidade
• Análise Técnica
• Cadeia de Ataque
• Impacto
• Remediação
• Linha do Tempo
• Referências
• Contato
• Aviso Legal

Visão Geral

O pacote apache-airflow-providers-databricks desativa a verificação de certificados TLS ao se comunicar com o servidor da API Kubernetes durante a troca federada de tokens. Tanto o caminho de código síncrono quanto o assíncrono usam verify=False / ssl=False, permitindo que qualquer atacante com acesso à rede dentro do cluster K8s realize um MITM na conexão e roube tanto o JWT da conta de serviço in-cluster quanto o token OAuth do Databricks.

Os comentários no código afirmam que "o K8s in-cluster usa certificados autoassinados", mas isso está incorreto. O Kubernetes fornece um pacote de CAs em /var/run/secrets/kubernetes.io/serviceaccount/ca.crt especificamente para esse fim.

Detalhes da Vulnerabilidade

Análise Técnica

Código Vulnerável

Linha 699 (caminho síncrono) - _get_k8s_token_request_api():

resp = requests.post(
    token_request_url,
    headers={
        "Authorization": f"Bearer {in_cluster_token}",
        "Content-Type": "application/json",
    },
    json=self._build_k8s_token_request_payload(audience, expiration_seconds),
    verify=False,  # K8s in-cluster uses self-signed certs
    timeout=self.token_timeout_seconds,
)

Linha 764 (caminho assíncrono) - _a_get_k8s_token_request_api():

async with self._session.post(
    token_request_url,
    ...
    ssl=False,  # K8s in-cluster uses self-signed certs
)

O Problema Central

O comentário afirma que "o K8s in-cluster usa certificados autoassinados", mas o Kubernetes fornece um pacote de CAs confiável em um caminho bem conhecido. A abordagem correta é usar esse pacote de CAs para verificação em vez de desabilitar o TLS por completo.

Padrão Seguro

K8S_CA_CERT_PATH = "/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"

# Sync
resp = requests.post(token_request_url, ..., verify=K8S_CA_CERT_PATH)

# Async
ssl_ctx = ssl.create_default_context(cafile=K8S_CA_CERT_PATH)
async with self._session.post(token_request_url, ..., ssl=ssl_ctx)

Cadeia de Ataque

+----------------------------------------------------------+
|  1. ATTACKER GAINS POD ACCESS                            |
|     Compromised container or network namespace access     |
+---------------------------+------------------------------+
                            |
                            v
+----------------------------------------------------------+
|  2. MITM THE TOKEN EXCHANGE                              |
|     ARP spoof / DNS hijack within cluster network         |
|     Serve self-signed cert (accepted due to verify=False) |
+---------------------------+------------------------------+
                            |
                            v
+----------------------------------------------------------+
|  3. INTERCEPT CREDENTIALS                                |
|     - K8s service account JWT (Authorization header)      |
|     - Databricks OAuth token (response body)              |
+---------------------------+------------------------------+
                            |
                            v
+----------------------------------------------------------+
|  4. LATERAL MOVEMENT                                     |
|     Use stolen tokens for K8s API + Databricks access     |
+----------------------------------------------------------+

Impacto

Remediação

PR de Correção: apache/airflow#63704

A correção substitui verify=False por verify=K8S_CA_CERT_PATH usando o pacote de CAs padrão in-cluster do Kubernetes e substitui ssl=False por um contexto SSL configurado corretamente.

Linha do Tempo

Referências

• CVE-2026-32794
• PR de Correção: apache/airflow#63704
• CWE-295: Validação de Certificado Incorreta
• Política de Segurança do Apache Airflow

Contato

• Website: snailsploit.com
• GitHub: @SnailSploit
• LinkedIn: /in/kaiaizen

Aviso Legal

Este aviso é publicado para fins educacionais e de defesa, de acordo com os princípios de divulgação responsável. As informações fornecidas têm o objetivo de ajudar desenvolvedores e equipes de segurança a entender e corrigir a vulnerabilidade. Não use estas informações para testes não autorizados ou fins maliciosos.

📚 Documentação e Autor

O writeup completo deste projeto, a metodologia e as pesquisas relacionadas estão em:

https://snailsploit.com/cves

Criado por Kai Aizen — pesquisador independente de segurança ofensiva.

snailsploit.com · Research · Frameworks · GitHub · LinkedIn · ResearchGate · X/Twitter

Mesmo ataque. Substrato diferente.