🇰🇷 한글 설명
Apache Airflow SFTP 프로바이더의 지연 가능(deferrable) 코드 경로에서 SSH 호스트 키 검증이 기본적으로 비활성화되어 있습니다. 이로 인해 중간자 공격(MITM)을 통해 공격자가 서버를 사칭하고 자격 증명이나 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
SFTP로 파일을 주고받을 때 상대방 서버가 진짜인지 확인하는 절차가 기본적으로 꺼져 있는 보안 결함입니다. 해커가 중간에서 가짜 서버인 척하며 여러분의 비밀번호나 중요한 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
The Apache Airflow SFTP provider's deferrable code paths (`SFTPTrigger`, `SFTPHookAsync`, `SFTPClientPool`) disable SSH host-key verification by default unless the connection explicitly sets `no_host_key_check` to false. Deployments that run SFTP sensors or operators in deferrable mode are affected. An attacker in a machine-in-the-middle position between the triggerer and the SFTP server can impersonate the server and capture the credentials or data exchanged.
Users of apache-airflow-providers-sftp are recommended to upgrade to apache-airflow-providers-sftp 7.0.0 or later. This is a separate defect from CVE-2026-94134 (the synchronous SSH hook default, which also affects the SFTP hook); users who applied the fix for one also need this release for the other - apache-airflow-providers-sftp 7.0.0 fixes both.
📍 영향받는 시스템
apache-airflow-providers-sftp (7.0.0 미만 버전 중 deferrable mode 사용 시)
⚔️ 공격 벡터
트리거러(Triggerer)와 SFTP 서버 사이의 중간자 공격(Man-in-the-Middle)
🛡️ 대응 방법
apache-airflow-providers-sftp 버전을 7.0.0 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 7.0.0 미만이면 취약한 상태입니다.
pip show apache-airflow-providers-sftp | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server