CVE-2026-94134 و CVE-2026-94135: Apache Airflow يعطّل التحقق من مفتاح مضيف SSH افتراضيًا

اكتشف باحثو OX Security أن مزوّدي SSH وSFTP في Apache Airflow يعطّلان التحقق من مفتاح مضيف خادم SSH افتراضيًا. وهذا يسمح لمهاجم يتمركز بين عامل Airflow والخادم الهدف بتنفيذ هجوم رجل في المنتصف (MITM)، واعتراض بيانات الجلسة أو تعديلها، وربما التقاط بيانات الاعتماد.

عادةً يتحقق عميل SSH من مفتاح المضيف العام للخادم مقابل مفتاح موثوق. وفي الاتصال الأول، قد يُخزَّن المفتاح للتحقق اللاحق، وفقًا لتكوين العميل. يستخدم Airflow Paramiko لاتصالات SSH المتزامنة لكنه يعتمد افتراضيًا على AutoAddPolicy، الذي يقبل تلقائيًا مفاتيح المضيف غير المعروفة سابقًا. ويظهر التحذير بشأن تعطيل التحقق فقط في سجل المهمة بعد إنشاء الاتصال، وليس في واجهة Airflow.

• تؤثر CVE-2026-94134 على SSHHook واتصالات SFTP المتزامنة. في SSHHook، تكون قيمة no_host_key_check افتراضيًا True. وفي SFTPHook، عندما يكون no_host_key_check غائبًا من إعدادات Extra الخاصة بالاتصال، يعطّل المزوّد التحقق افتراضيًا أيضًا عبر تعيين known_hosts="none". ويمكن للمهاجم الذي يعترض الاتصال انتحال هوية خادم SSH، أو حقن مخرجات الأوامر، أو تعديل الملفات المنقولة، أو إعادة توجيه البيانات إلى تخزين يتحكم به المهاجم. ويعتمد تعرّض بيانات الاعتماد على طريقة المصادقة وتكوين الاتصال.

• تؤثر CVE-2026-94135 على مسار SFTP غير المتزامن. يستخدم SFTPHookAsync وSFTPTrigger وSFTPClientPool مكتبة asyncssh ويمرّرون known_hosts=None عندما لا يكون التحقق من مفتاح المضيف ممكّنًا صراحةً. وتتأثر أيضًا عوامل SFTP القابلة للتأجيل التي تستخدم هذا المسار غير المتزامن. يتطلب الاستغلال أن يعترض المهاجم حركة المرور بين عامل Airflow والخادم الهدف أو يعيد توجيهها. وتشمل مواضع الهجوم المحتملة انتحال ARP على شبكة فرعية مشتركة، أو اختراق جهاز شبكة، أو التلاعب بالتوجيه داخل VPC سحابي، أو اختطاف BGP للأهداف المواجهة للإنترنت.

الحزم المتأثرة هي apache-airflow-providers-ssh وapache-airflow-providers-sftp، حتى الإصدار 6.0.1. وقد تم إصلاح المشكلتين في الإصدار 7.0.0 من المزوّدين المعنيين.

كإجراء تخفيف مؤقت، يمكن للمسؤولين تعيين no_host_key_check=false صراحةً وتكوين host_key موثوق للاتصالات المتأثرة. وإذا لم يتم تكوين مفتاح موثوق، فقد يفشل الاتصال بدلًا من قبول مفتاح خادم غير معروف بصمت.

المقال: https://www.ox.security/blog/by-default-insecure-apache-airflow-disables-ssh-host-key-verification

إثبات المفهوم (CVE-2026-94134): https://github.com/MosesOX/POC-CVE-2026-94134