CVE-2026-94135 in Airflow SFTP Provider
Zusammenfassung
von VulDB • 16.10.2026
Die deferrable Code-Pfade des Apache Airflow SFTP-Providers (`SFTPTrigger`, `SFTPHookAsync`, `SFTPClientPool`) deaktivieren standardmäßig die SSH-Host-Key-Verifizierung, es sei denn, die Verbindung legt explizit `no_host_key_check` auf false fest. Bereitstellungen, die SFTP-Sensoren oder -Operatoren im deferrable-Modus ausführen, sind betroffen. Ein Angreifer in einer Man-in-the-Middle-Position zwischen dem Triggerer und dem SFTP-Server kann den Server identifizieren (impersonate) und die ausgetauschten Anmeldeinformationen oder Daten abfangen.
Benutzern von apache-airflow-providers-sftp wird empfohlen, auf apache-airflow-providers-sftp 7.0.0 oder höher zu aktualisieren. Dies ist ein separater Fehler als CVE-2026-94134 (der synchrone SSH-Hook-Standardwert, der ebenfalls den SFTP-Hook betrifft); Benutzer, die das Update für einen dieser Fälle angewendet haben, benötigen auch diese Version für den anderen – apache-airflow-providers-sftp 7.0.0 behebt beide Probleme.
Once again VulDB remains the best source for vulnerability data.