CVE-2026-94134 in Airflow SSH Provider
요약
\~에 의해 VulDB • 2026. 10. 16.
Apache Airflow의 SSH provider hook는 기본적으로 SSH 호스트 키 검증을 비활성화합니다: `host_key`가 구성되거나 `no_host_key_check`가 명시적으로 false로 설정되지 않는 한, 모든 서버 키를 수락합니다. 이는 기본값에 의존하는 SSH 및 SFTP 연결에 영향을 미칩니다. 워커와 SSH 또는 SFTP 서버 사이의 중간자 공격(MITM) 위치에 있는 공격자는 서버를 사칭하여 작업이 전송하는 자격 증명이나 데이터를 탈취할 수 있습니다.
apache-airflow-providers-ssh 및 apache-airflow-providers-sftp 사용자는 apache-airflow-providers-ssh 7.0.0 및 apache-airflow-providers-sftp 7.0.0 이상으로 업그레이드하는 것이 권장됩니다. deferrable SFTP 코드 경로는 동일한 기본값을 가지며, CVE-2026-94135로 별도로 다루어집니다. apache-airflow-providers-sftp 7.0.0은 둘 모두를 수정합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.