CVE-2026-94134 in Airflow SSH Provider
Sumário
de VulDB • 16/10/2026
O hook do provedor SSH do Apache Airflow desativa a verificação da chave de host SSH por padrão: a menos que `host_key` esteja configurado ou `no_host_key_check` seja explicitamente definido como false, ele aceita qualquer chave de servidor. Isso afeta as conexões SSH e SFTP que dependem desse comportamento padrão. Um atacante em posição man-in-the-middle entre o worker (agente) e o servidor SSH ou SFTP pode se passar pelo servidor e capturar credenciais ou dados enviados por uma tarefa.
Recomenda-se aos usuários de apache-airflow-providers-ssh e apache-airflow-providers-sftp que atualizem para apache-airflow-providers-ssh 7.0.0 e apache-airflow-providers-sftp 7.0.0 ou versões posteriores. Os caminhos de código SFTP deferrable possuíam o mesmo comportamento padrão e são cobertos separadamente pela CVE-2026-94135; a versão apache-airflow-providers-sftp 7.0.0 corrige ambos os problemas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.