Intel
    MittelCVE-2026-94134

    Airflow: Key Exchange without Entity Authentication (CVE-2026-94134)

    Veröffentlicht Zuletzt geändert

    Was ist betroffen, was ist zu tun

    Der Apache Airflow SSH-Anbieter-Hook deaktiviert die Überprüfung des SSH-Host-Schlüssels standardmäßig: es sei denn, `host_key` ist konfiguriert oder `no_host_key_check` wird ausdrücklich auf false gesetzt, akzeptiert es jeden Server-Schlüssel. Dies betrifft SSH- und SFTP-Verbindungen, die auf dem Standard basieren.

    Ein Exploit ist öffentlich verfügbar. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.

    Metriken

    9,1

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: Hersteller (CNA), CVSS v3

    9,1

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    —

    EPSS-Score

    Für diese Schwachstelle liegt kein Wert vor.

    Alle Metriken anzeigen
    Schweregrad
    Mittel
    Priority-Score

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    60.75
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    PoC (öffentlich gemeldet)
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    9,1
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    9,1
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    —
    Veröffentlicht
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-322

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Der Apache Airflow SSH-Anbieter-Hook deaktiviert die Überprüfung des SSH-Host-Schlüssels standardmäßig: es sei denn, `host_key` ist konfiguriert oder `no_host_key_check` wird ausdrücklich auf false gesetzt, akzeptiert es jeden Server-Schlüssel. Dies betrifft SSH- und SFTP-Verbindungen, die auf dem Standard basieren. Ein Angreifer in einer Man-in-the-Middle-Position zwischen dem Worker und dem SSH- oder SFTP-Server kann den Server nachahmen und die Anmeldedaten oder Daten erfassen, die eine Aufgabe sendet. Benutzer von apache-airflow-providers-ssh und apache-airflow-providers-sftp werden empfohlen, auf apache-airflow-providers-ssh 7.0.0 und apache-airflow-providers-sftp 7.0.0 oder eine spätere Version zu aktualisieren. Die verzögerbaren SFTP-Codepfade hatten denselben Standard und werden separat durch CVE-2026-94135 abgedeckt; apache-airflow-providers-sftp 7.0.0 behebt beide.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: BSI WID Portal

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    HerstellerProduktBetroffene VersionenBehoben in
    ApacheAirflow
    • Keycloak Provider <0.11.1
    • SFTP Provider <7.0.0
    • SSH Provider <7.0.0
    • —
    • —
    • —

    Weakness-Klassen (CWE)

    • CWE-322Key Exchange without Entity Authentication

      Base

      The product performs a key exchange with an actor without verifying the identity of that actor.

      Eintrag bei MITRE CWE-322

    Quellen & Referenzen

    Re-Analyse & Statuswechsel

    Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

    1. CVE Modified134c704f-9b21-4f2e-91b3-4a467353bcc0

      • CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
      • SSVC: nachher {"id":"CVE-2026-94134","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…

    2. CVE Modifiedsecurity@apache.org

      • Reference: nachher https://lists.apache.org/thread/ksr1lztvd3zr74f8xd1hzch1ssl0l3lj

    3. New CVE Receivedsecurity@apache.org

      • Description: nachher The Apache Airflow SSH provider hook disables SSH host-key verification by default: unless `host_key` is configured or `no_host_key_check` is explicitly set to false, it accepts any server key. This affects SSH and SFTP connections that rely on the default. An attacker in a machine-in-the-middle position between the worker and the SSH or SFTP server can impersonate the server and capture the credentials or data a task sends. Users of apache-airflow-providers-ssh and apache-airflow-providers-sftp are recommended to upgrade to apache-airflow-providers-ssh 7.0.0 and apache-airflow-providers-sftp 7.0.0 or later. The deferrable SFTP code paths had the same default and are covered separately by CVE-2026-94135; apache-airflow-providers-sftp 7.0.0 fixes both.
      • CWE: nachher CWE-322
      • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/94xxx/CVE-2026-94134.json">CVE-2026-94134</a>
      • Reference: nachher https://github.com/apache/airflow/pull/73419

    Verknüpfte CVEs

    Verknüpfte CVEs
    SchwereCVETitelCVSSAusnutzung
    MittelCVE-2026-96806Der Apache Airflow Keycloak Auth-Manager beendete die Sitzung nicht beim Abmelden: Die Abmelde-Route widerrufte das präsentierte Token, a…5,8—
    MittelCVE-2026-94135Der SFTP-Anbieter von Apache Airflow deaktiviert die Überprüfung des SSH-Host-Schlüssels standardmäßig in den verzögerbaren Codepfaden (`…4,3—
    KritischCVE-2026-94134Der Apache Airflow SSH-Anbieter-Hook deaktiviert die Überprüfung des SSH-Host-Schlüssels standardmäßig: es sei denn, `host_key` ist konfi…9,1—
    MittelCVE-2026-92228Der Apache Airflow Keycloak-Anbieter gewährte durch die mehrfache Team-Provisionierung (`_attach_team_permissions`) jedem Teamrolle globa…6,5—