CVE-2026-94134
Apache Airflow SSH-Provider, Apache Airflow SFTP-Provider: SSH-Hook deaktiviert standardmäßig die Host-Key-Verifizierung
- Veröffentlicht
- 15.10.2026
- Aktualisiert
- 16.10.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 04.11.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NNiedrig · nächste 30 Tage
- Perzentil
- 48,8 %
- Modelldatum
- 04.11.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Der SSH-Provider-Hook von Apache Airflow deaktiviert standardmäßig die SSH-Host-Key-Verifikation: Sofern `host_key` nicht konfiguriert oder `no_host_key_check` nicht explizit auf false gesetzt ist, akzeptiert er jeden Server-Schlüssel. Dies betrifft SSH- und SFTP-Verbindungen, die auf der Standardeinstellung beruhen. Ein Angreifer in einer Machine-in-the-Middle-Position zwischen dem Worker und dem SSH- oder SFTP-Server kann den Server imitieren und die Anmeldedaten oder Daten abfangen, die eine Task sendet. Nutzern von apache-airflow-providers-ssh und apache-airflow-providers-sftp wird empfohlen, auf apache-airflow-providers-ssh 7.0.0 und apache-airflow-providers-sftp 7.0.0 oder höher zu aktualisieren. Die deferrable SFTP-Codepfade wiesen dieselbe Standardeinstellung auf und werden separat durch CVE-2026-94135 abgedeckt; apache-airflow-providers-sftp 7.0.0 behebt beide.
Quellen
Proof-of-Concept-Code, der die Ausnutzung von CVE-2026-94134 demonstriert, zusammen mit begleitenden Notizen zur Schwachstellenforschung von OX Security.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.