Apache Airflow SSH-Provider: Fehlende Prüfung des Host-Schlüssels standardmässig
Zusammenfassung
Die Apache-Airflow-Provider für SSH und SFTP prüfen SSH-Host-Schlüssel standardmässig nicht, sofern nicht host_key konfiguriert oder no_host_key_check explizit auf false gesetzt ist. Dadurch wird jeder Server-Schlüssel akzeptiert. Ein Angreifer in einer Man-in-the-Middle-Position zwischen dem Airflow-Worker und dem SSH- oder SFTP-Server kann sich als Server ausgeben. So können Zugangsdaten und Daten, die Airflow-Tasks senden, offengelegt werden.
Betroffen
- apache-airflow-providers-ssh vor 7.0.0
- apache-airflow-providers-sftp vor 7.0.0 (die deferrable SFTP-Codepfade sind separat in CVE-2026-94135 erfasst)
Behoben in
- apache-airflow-providers-ssh 7.0.0 oder neuer
- apache-airflow-providers-sftp 7.0.0 oder neuer (behebt CVE-2026-94134 und CVE-2026-94135)
Umgehung
Unbekannt. Für ältere Versionen wurde keine vom Hersteller dokumentierte Massnahme gefunden.
- host_key explizit auf jeder SSH- und SFTP-Verbindung zu setzen, umgeht den Standardpfad. Dies ist aus der Beschreibung abgeleitet und nicht eine Empfehlung des Herstellers.
Ausnutzung
- CISA-SSVC-Daten im offiziellen CVE-Eintrag: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Ein nicht verifizierter Aggregator-Eintrag nennt einen öffentlichen Exploit. Dieser wurde nicht verifiziert.
Unsere Empfehlung
- Airflow-Installationen inventarisieren und die installierten Versionen von apache-airflow-providers-ssh und apache-airflow-providers-sftp prüfen.
- Beide Pakete auf 7.0.0 oder neuer aktualisieren.
- Bis zum Update host_key auf SSH- und SFTP-Verbindungen explizit setzen und den Worker-Verkehr auf vertrauenswürdige Netzwerkpfade beschränken.
- Prüfen, welche Zugangsdaten über nicht vollständig vertrauenswürdige Netzwerke gesendet werden.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
MosesOX/POC-CVE-2026-94134
Quellen der Recherche
- Apache mailing list advisory lists.apache.org
- Apache Airflow pull request #73419 (fix) github.com
- OX Security analysis www.ox.security
- OpenCVE record CVE-2026-94134 app.opencve.io
- Vulners NVD record CVE-2026-94134 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.