CVE-2026-94134

严重已发布

Apache Airflow SSH provider、Apache Airflow SFTP provider：SSH hook 默认禁用主机密钥验证

已发布: 2026年10月15日
已更新: 2026年10月16日
分配 CNA: apache
观察到的证据: 2026年11月4日

初级CVSS

9.1/ 10严重

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

EPSS概率估计

0.6%

低 · 未来 30 天

百分位: 48.8%
型号日期: 2026年11月4日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

Apache Airflow SSH provider 钩子默认禁用 SSH 主机密钥验证：除非配置了 `host_key` 或将 `no_host_key_check` 显式设置为 false，否则它会接受任何服务器密钥。这会影响依赖默认设置的 SSH 和 SFTP 连接。处于 worker 与 SSH 或 SFTP 服务器之间中间人位置的攻击者可以冒充服务器，并截获任务发送的凭据或数据。建议 apache-airflow-providers-ssh 和 apache-airflow-providers-sftp 的用户升级到 apache-airflow-providers-ssh 7.0.0 和 apache-airflow-providers-sftp 7.0.0 或更高版本。可延迟的 SFTP 代码路径具有相同的默认设置，并由 CVE-2026-94135 单独涵盖；apache-airflow-providers-sftp 7.0.0 修复了这两个问题。

来源

POC-CVE-2026-94134PoC
演示利用 CVE-2026-94134 的概念验证代码，并附有来自 OX Security 的漏洞研究笔记。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。