Apache Airflow SSH provider: OS-Command-Injection in SSHRemoteJobOperator
Zusammenfassung
Der SSHRemoteJobOperator des Apache Airflow SSH providers quotet Werte des templatisierten Parameters environment nur einmal, obwohl sie in ein bereits gequotetes Wrapper-Skript eingesetzt werden. Shell-Syntax wie $(...) in einem Wert wird dadurch auf dem entfernten SSH-Host ausgeführt. Ein Benutzer, der einen DAG auslösen, aber keine DAGs erstellen kann, und dessen DAG Eingaben zur Auslösezeit wie params oder dag_run.conf an environment übergibt, kann beliebige Befehle als Benutzer der SSH-Verbindung ausführen.
Betroffen
- apache-airflow-providers-ssh von 4.3.0 bis vor 7.0.1
- Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)
Behoben in
- apache-airflow-providers-ssh 7.0.1 oder neuer
Umgehung
- Keine offizielle Workaround-Massnahme bekannt. Das Aktualisieren auf 7.0.1 oder neuer ist die Behebung.
- Bis zur Behebung keine Eingaben zur Auslösezeit (params, dag_run.conf) an environment übergeben.
- Einschränken, welche Benutzer betroffene DAGs auslösen dürfen.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Issue und Fix-PR beschreiben den Mechanismus öffentlich.
Unsere Empfehlung
- apache-airflow-providers-ssh dort, wo der Provider eingesetzt wird, auf 7.0.1 oder neuer aktualisieren.
- Bis zur Aktualisierung keine Eingaben zur Auslösezeit an environment übergeben.
- Festlegen, wer DAGs mit SSHRemoteJobOperator auslösen darf.
- SSH-Konten auf den Remote-Hosts mit minimalen Rechten betreiben.
- DAGs auf dieses Muster prüfen und Remote-Hosts auf unerwartete Befehle überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Airflow SSH provider 7.0.1 changelog airflow.apache.org
- Upstream fix PR #74810 github.com
- Upstream issue #74601 github.com
- Apache mailing list thread lists.apache.org
- oss-security post www.openwall.com
- OpenCVE CVE-2026-111422 app.opencve.io
- Apache Airflow provider packages reference airflow.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.