CVE-2026-94134
Провайдер SSH Apache Airflow, провайдер SFTP Apache Airflow: SSH-хук по умолчанию отключает проверку ключа хоста
- Опубликовано
- 15 окт. 2026 г.
- Обновлено
- 16 окт. 2026 г.
- Назначение CNA
- apache
- Наблюдены доказательства
- 4 нояб. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NНизкий · следующие 30 дней
- Процентиль
- 48,8 %
- Дата модели
- 4 нояб. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Хук провайдера SSH в Apache Airflow по умолчанию отключает проверку ключа хоста SSH: если не настроен `host_key` или явно не задано `no_host_key_check` = false, он принимает любой ключ сервера. Это затрагивает SSH- и SFTP-соединения, использующие настройки по умолчанию. Злоумышленник, находящийся в позиции «человек посередине» между воркером и SSH- или SFTP-сервером, может выдать себя за сервер и перехватить учётные данные или данные, отправляемые задачей. Пользователям apache-airflow-providers-ssh и apache-airflow-providers-sftp рекомендуется обновиться до apache-airflow-providers-ssh 7.0.0 и apache-airflow-providers-sftp 7.0.0 или более поздних версий. Отложенные (deferrable) ветки кода SFTP имели те же настройки по умолчанию и рассматриваются отдельно в CVE-2026-94135; apache-airflow-providers-sftp 7.0.0 исправляет обе проблемы.
Источники
Proof-of-concept код, демонстрирующий эксплуатацию CVE-2026-94134, с прилагаемыми заметками по исследованию уязвимости от OX Security.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.