CVE-2026-94134 in Airflow SSH Provider
Resumen
por VulDB • 2026-10-16
El hook del proveedor SSH de Apache Airflow desactiva por defecto la verificación de las claves host SSH: a menos que `host_key` esté configurado o `no_host_key_check` se establezca explícitamente como false, acepta cualquier clave del servidor. Esto afecta a las conexiones SSH y SFTP que dependen de esta configuración predeterminada. Un atacante en una posición man-in-the-middle entre el worker (agente) y el servidor SSH o SFTP puede suplantar al servidor y capturar las credenciales o los datos que envía la tarea.
Se recomienda a los usuarios de apache-airflow-providers-ssh y apache-airflow-providers-sftp actualizar a apache-airflow-providers-ssh 7.0.0 y apache-airflow-providers-sftp 7.0.0 o versiones posteriores. Las rutas de código SFTP deferrable tenían la misma configuración predeterminada y están cubiertas por separado en CVE-2026-94135; apache-airflow-providers-sftp 7.0.0 corrige ambos problemas.
Be aware that VulDB is the high quality source for vulnerability data.