CVE-2026-94134
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-322
- KEV Durumu
- Hayır
Yayım tarihi: 15 Ekim 2026
Apache Airflow SSH sağlayıcı kancası, varsayılan olarak SSH ana bilgisayar anahtarı doğrulamasını devre dışı bırakır: `host_key` yapılandırılmadığı sürece veya `no_host_key_check` açıkça false olarak ayarlanmadığı sürece, herhangi bir sunucu anahtarını kabul eder. Bu, varsayılan değerlere güvenen SSH ve SFTP bağlantılarını etkiler. İşçi ve SSH veya SFTP sunucusu arasında orta bir konumda bulunan bir saldırgan, sunucuyu taklit edebilir ve bir görevin gönderdiği kimlik bilgilerini veya verileri yakalayabilir. apache-airflow-providers-ssh ve apache-airflow-providers-sftp kullanıcılarının apache-airflow-providers-ssh 7.0.0 ve apache-airflow-providers-sftp 7.0.0 veya daha yeni bir sürüme yükseltmeleri önerilir. İptal edilebilir SFTP kod yolları aynı varsayılan değere sahipti ve ayrı olarak CVE-2026-94135 tarafından kapsanmaktadır; apache-airflow-providers-sftp 7.0.0 her ikisini de düzeltir.
Orijinal açıklama (İngilizce)
The Apache Airflow SSH provider hook disables SSH host-key verification by default: unless `host_key` is configured or `no_host_key_check` is explicitly set to false, it accepts any server key. This affects SSH and SFTP connections that rely on the default. An attacker in a machine-in-the-middle position between the worker and the SSH or SFTP server can impersonate the server and capture the credentials or data a task sends. Users of apache-airflow-providers-ssh and apache-airflow-providers-sftp are recommended to upgrade to apache-airflow-providers-ssh 7.0.0 and apache-airflow-providers-sftp 7.0.0 or later. The deferrable SFTP code paths had the same default and are covered separately by CVE-2026-94135; apache-airflow-providers-sftp 7.0.0 fixes both.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.