CVE-2026-94134
Fournisseur SSH d'Apache Airflow, fournisseur SFTP d'Apache Airflow : le hook SSH désactive la vérification des clfs d'hôte par défaut
- Publié
- 15 oct. 2026
- Mise à jour
- 16 oct. 2026
- Attribution de CNA
- apache
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NFaible · 30 prochains jours
- Percentile
- 48,8 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Le hook du provider SSH d'Apache Airflow désactive par défaut la vérification de la clé d'hôte SSH : sauf si `host_key` est configuré ou si `no_host_key_check` est explicitement défini sur false, il accepte n'importe quelle clé de serveur. Cela affecte les connexions SSH et SFTP qui reposent sur la configuration par défaut. Un attaquant en position d'intermédiaire (machine-in-the-middle) entre le worker et le serveur SSH ou SFTP peut usurper l'identité du serveur et capturer les identifiants ou les données envoyées par une tâche. Il est recommandé aux utilisateurs de apache-airflow-providers-ssh et apache-airflow-providers-sftp de mettre à niveau vers apache-airflow-providers-ssh 7.0.0 et apache-airflow-providers-sftp 7.0.0 ou une version ultérieure. Les chemins de code SFTP différés (deferrable) présentaient la même configuration par défaut et sont couverts séparément par CVE-2026-94135 ; apache-airflow-providers-sftp 7.0.0 corrige les deux.
Sources
Code de preuve de concept démontrant l'exploitation de CVE-2026-94134, accompagné de notes de recherche sur la vulnérabilité fournies par OX Security.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.