CVE-2026-94135 in Airflow SFTP Provider
Riassunto
di VulDB • 16/10/2026
I percorsi di codice deferrable del provider Apache Airflow per SFTP (`SFTPTrigger`, `SFTPHookAsync`, `SFTPClientPool`) disabilitano la verifica della chiave host SSH in modo predefinito, a meno che la connessione non imposti esplicitamente `no_host_key_check` su false. Le distribuzioni che eseguono sensori o operatori SFTP in modalità deferrable sono interessate. Un attaccante posizionato come man-in-the-middle tra il triggerer e il server SFTP può impersonare il server ed intercettare le credenziali o i dati scambiati.
Si consiglia agli utenti di apache-airflow-providers-sftp di eseguire l'aggiornamento alla versione 7.0.0 o successiva. Si tratta di un difetto separato da CVE-2026-94134 (il hook SSH sincrono predefinito, che interessa anche il hook SFTP); gli utenti che hanno applicato la correzione per l'uno necessitano di questa release anche per l'altro - apache-airflow-providers-sftp 7.0.0 corregge entrambi i problemi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.