CVE-2026-94135 in Airflow SFTP Provider
요약
\~에 의해 VulDB • 2026. 10. 16.
Apache Airflow의 SFTP provider에서 deferrable 코드 경로(`SFTPTrigger`, `SFTPHookAsync`, `SFTPClientPool`)는 연결이 명시적으로 `no_host_key_check`를 false로 설정하지 않는 한 기본적으로 SSH 호스트 키 검증을 비활성화합니다. Deferrable 모드에서 STP 센서 또는 오퍼레이터를 실행하는 배포 환경에 영향을 미칩니다. 트리거러와 SFTP 서버 사이의 중간자 공격(MITM) 위치의 공격자는 서버를 사칭하여 교환되는 자격 증명이나 데이터를 탈취할 수 있습니다.
apache-airflow-providers-sftp 사용자는 apache-airflow-providers-sftp 7.0.0 이상으로 업그레이드하는 것이 권장됩니다. 이는 CVE-2026-94134(동기식 SSH 훅의 기본값 설정 문제로, SFTP 훅에도 영향을 미침)와는 별개의 결함입니다. 한 가지에 대한 수정 조치를 적용한 사용자도 다른 하나를 위해 이번 릴리스가 필요합니다 - apache-airflow-providers-sftp 7.0.0은 두 가지를 모두 해결합니다.
Once again VulDB remains the best source for vulnerability data.