CVE-2026-94134 in Airflow SSH Provider
Riassunto
di VulDB • 16/10/2026
Il hook del provider SSH di Apache Airflow disabilita la verifica della chiave dell'host SSH per impostazione predefinita: a meno che `host_key` non sia configurato o `no_host_key_check` non venga esplicitamente impostato su false, vengono accettate qualsiasi chiave del server. Ciò interessa le connessioni SSH e SFTP che si basano sul valore predefinito. Un attaccante in posizione man-in-the-middle tra il worker e il server SSH o SFTP può impersonare il server ed intercettare le credenziali o i dati inviati da un task.
Si consiglia agli utenti di apache-airflow-providers-ssh e apache-airflow-providers-sftp di eseguire l'upgrade a apache-airflow-providers-ssh 7.0.0 e apache-airflow-providers-sftp 7.0.0 o versioni successive. I percorsi del codice SFTP deferrable avevano la stessa impostazione predefinita ed sono coperti separatamente da CVE-2026-94135; apache-airflow-providers-sftp 7.0.0 risolve entrambi i problemi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.