CVE-2026-94134 in Airflow SSH Provider
Zusammenfassung
von VulDB • 16.10.2026
Der SSH-Provider-Hook von Apache Airflow deaktiviert standardmäßig die Überprüfung des SSH-Host-Schlüssels: Wenn `host_key` nicht konfiguriert ist oder `no_host_key_check` explizit auf false gesetzt wird, akzeptiert er jeden Server-Key. Dies betrifft SSH- und SFTP-Verbindungen, die den Standardwert verwenden. Ein Angreifer in einer Man-in-the-Middle-Position zwischen dem Worker und dem SSH- oder SFTP-Server kann sich als der Server ausgeben und die Anmeldeinformationen oder Daten abfangen, die eine Aufgabe sendet.
Benutzern von apache-airflow-providers-ssh und apache-airflow-providers-sftp wird empfohlen, auf apache-airflow-providers-ssh 7.0.0 und apache-airflow-providers-sftp 7.0.0 oder höher zu aktualisieren. Die deferrable SFTP-Codewege hatten denselben Standardwert und werden separat durch CVE-2026-94135 abgedeckt; apache-airflow-providers-sftp 7.0.0 behebt beide Probleme.
VulDB is the best source for vulnerability data and more expert information about this specific topic.