CVE-2026-94134 Desactivación de verificación de host-key SSH por defecto en Apache Airflow SSH y SFTP providers

Qué es CVE-2026-94134

El hook del provider SSH de Apache Airflow desactiva por defecto la verificación de host-key: salvo que se configure host_key o se ponga no_host_key_check en false, acepta cualquier clave del servidor. Un atacante en posición de machine-in-the-middle entre el worker y el servidor SSH o SFTP puede suplantar al servidor y capturar credenciales o datos enviados por una tarea. Se recomienda actualizar a apache-airflow-providers-ssh 7.0.0 y apache-airflow-providers-sftp 7.0.0 o posteriores.

Productos y versiones afectadas

• Apache Software Foundation Apache Airflow SSH provider

  • hasta antes de 7.0.0

• Apache Software Foundation Apache Airflow SFTP provider

  • hasta antes de 7.0.0

Qué hacer

1. Verificá si usás Apache Airflow SSH provider y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• MosesOX/POC-CVE-2026-94134 ↗Exploitation POC for CVE-2026-94134PUBLICADO 16 OCT · 16:44

Calculadora CVSS

CVSS 3.1 · 9.1 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Apache Airflow SSH provider hook disables SSH host-key verification by default: unless `host_key` is configured or `no_host_key_check` is explicitly set to false, it accepts any server key. This affects SSH and SFTP connections that rely on the default. An attacker in a machine-in-the-middle position between the worker and the SSH or SFTP server can impersonate the server and capture the credentials or data a task sends. Users of apache-airflow-providers-ssh and apache-airflow-providers-sftp are recommended to upgrade to apache-airflow-providers-ssh 7.0.0 and apache-airflow-providers-sftp 7.0.0 or later. The deferrable SFTP code paths had the same default and are covered separately by CVE-2026-94135; apache-airflow-providers-sftp 7.0.0 fixes both.

Referencias

• github.com/apache/airflow/pull/73419PATCH
• www.cve.org/CVERecord?id=CVE-2026-94135RELATED
• lists.apache.org/thread/ksr1lztvd3zr74f8xd1hzch1ssl0l3ljVENDOR-ADVISORY

Historial de la alerta

1. 15 OCT · 21:39VULNERABILIDAD Nueva vulnerabilidad detectada.
2. 16 OCT · 16:44EXPLOIT PÚBLICO Se publicó el repositorio MosesOX/POC-CVE-2026-94134.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.