CVE-2026-94135
Təsvir
Apache Airflow SFTP provayderinin təxirə salına bilən kod yolları (`SFTPTrigger`, `SFTPHookAsync`, `SFTPClientPool`), əgər bağlantıda `no_host_key_check` açıq şəkildə false olaraq təyin edilməyibsə, standart olaraq SSH host açarının yoxlanılmasını deaktiv edir. SFTP sensorlarını və ya operatorlarını təxirə salına bilən rejimdə işlədən tətbiqlər bundan təsirlənir. Triggerer ilə SFTP serveri arasında "machine-in-the-middle" mövqeyində olan hücumçu serveri təqlid edə və mübadilə olunan etibarnamələri və ya məlumatları ələ keçirə bilər. apache-airflow-providers-sftp istifadəçilərinə apache-airflow-providers-sftp 7.0.0 və ya daha yeni versiyaya yeniləmək tövsiyə olunur. Bu, CVE-2026-94134-dən (həmçinin SFTP hook-a təsir edən sinxron SSH hook standartı) fərqli bir qüsurdur; birinin həllini tətbiq edən istifadəçilər digəri üçün də bu buraxılışa ehtiyac duyurlar - apache-airflow-providers-sftp 7.0.0 hər iki problemi aradan qaldırır.
Necə düzəltmək olar
- Apache Software Foundation Apache Airflow SFTP provider7.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache Airflow SFTP provider | v < 7.0.0 | 7.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.