CVE-2026-94134
Apache Airflow SSHプロバイダー、Apache Airflow SFTPプロバイダー：SSHフックがデフォルトでホスト鍵検証を無効化
- 公開済み
- 2026/10/15
- 更新済み
- 2026/10/16
- CNA の割り当て
- apache
- 観察された証拠
- 2026/11/04
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N低 · 今後 30 日間
- パーセンタイル
- 48.8%
- モデルの日付
- 2026/11/04
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Apache Airflow SSHプロバイダーのフックは、デフォルトでSSHホスト鍵の検証を無効にしています。`host_key` が設定されているか、`no_host_key_check` が明示的に false に設定されていない限り、任意のサーバー鍵を受け入れます。これはデフォルトに依存するSSHおよびSFTP接続に影響します。ワーカーとSSHまたはSFTPサーバーの間に中間者（machine-in-the-middle）の位置にいる攻撃者は、サーバーになりすまして、タスクが送信する認証情報やデータを取得できます。apache-airflow-providers-ssh および apache-airflow-providers-sftp のユーザーは、apache-airflow-providers-ssh 7.0.0 および apache-airflow-providers-sftp 7.0.0 以降へのアップグレードを推奨します。deferrable SFTPのコードパスにも同じデフォルトが存在し、CVE-2026-94135 で別途扱われています。apache-airflow-providers-sftp 7.0.0 は両方を修正します。
ソース
CVE-2026-94134の悪用を実証する概念実証コードと、OX Securityによる付随の脆弱性調査ノート。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。