CVE-2026-58065

Yüksek

Açıklama

Apache Airflow Git sağlayıcısı, varsayılan olarak git-over-SSH işlemlerini `StrictHostKeyChecking=no` ile çalıştırarak SSH ana bilgisayar anahtarı doğrulamasını devre dışı bırakır. Bir Airflow worker'ı ile Git sunucusu arasındaki ağ yolunu kesebilen bir saldırgan, sunucuyu taklit ederek (ortadaki adam saldırısı) SSH dağıtım anahtarını ele geçirebilir veya kötü amaçlı depo içeriği enjekte edebilir. Dağıtım anahtarıyla SSH üzerinden klonlama yapmak için Git DAG paketi veya Git sağlayıcısını kullanan dağıtımlar etkilenmektedir. Düzeltme, varsayılan ayarı ana bilgisayar anahtarlarını doğrulayacak şekilde değiştirir; apache-airflow-providers-git `0.4.1` veya daha yeni bir sürüme yükseltin ve bir `known_hosts` dosyası yapılandırın.

ÖnemYüksek

CVSS8.1

İstismar olasılığı—

Ürün

Apache-airflow-providers-git

Yayın13 Tem 2026

İlk görülme13 Tem 2026

Zayıflık türüCWE-322CWE-322

Nasıl düzeltilir

Güncelleyin

apache apache-airflow-providers-git0.4.1 ya da sonraki bir sürüm

Yamalar

github.com/apache/airflow/pull/69103

Üretici duyuruları

lists.apache.org/thread/fjmclngfksz2kp7llpcjxzdz568h0zhc

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
apache apache-airflow-providers-git	v < 0.4.1	0.4.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.