CVE-2026-58065

Apache Airflow Git Provider: brak weryfikacji hosta SSH (MitM)

CVSS 8.1v3.1pub. 2026-07-13upd. 2026-07-14

Apache Airflow Git Provider domyślnie wyłącza weryfikację klucza hosta SSH (StrictHostKeyChecking=no), co umożliwia atakującemu przeprowadzenie ataku man-in-the-middle na połączenie między workerem Airflow a serwerem Git. Skutkiem może być przechwycenie klucza deploy key lub podmiana treści repozytorium.

▸ Pokaż oryginał (EN)

The Apache Airflow Git provider runs its git-over-SSH operations with `StrictHostKeyChecking=no` by default, disabling SSH host-key verification. An attacker who can intercept the network path between an Airflow worker and the Git server can impersonate the server (man-in-the-middle), capturing the SSH deploy key or injecting malicious repository content. Deployments that use the Git DAG bundle or Git provider to clone over SSH with a deploy key are affected. The fix changes the default to verify host keys; upgrade to apache-airflow-providers-git `0.4.1` or later and configure a `known_hosts` file.

🤖 Analiza AI

Jak działa

Operacje git-over-SSH wykonywane przez Apache Airflow Git Provider używają domyślnej opcji StrictHostKeyChecking=no, co oznacza, że klient SSH nie weryfikuje tożsamości serwera Git na podstawie jego klucza hosta. Atakujący zdolny do przechwycenia ruchu sieciowego między workerem Airflow a serwerem Git może podszyć się pod serwer (atak man-in-the-middle). W wyniku tego możliwe jest przechwycenie SSH deploy key używanego do uwierzytelniania lub wstrzyknięcie złośliwej zawartości repozytorium w miejsce oryginalnych plików DAG.

Skutki

Atakujący może przechwycić poufny SSH deploy key lub wstrzyknąć złośliwy kod do klonowanego repozytorium, co może prowadzić do kompromitacji poufności, integralności i dostępności środowiska Airflow.

Mitygacja

Należy zaktualizować pakiet apache-airflow-providers-git do wersji 0.4.1 lub nowszej. Po aktualizacji wymagane jest skonfigurowanie pliku known_hosts zawierającego klucze hosta serwera Git, ponieważ nowa wersja domyślnie wymusza weryfikację klucza hosta SSH.

Kogo dotyczy

Apache Airflow Providers Git we wszystkich wersjach wcześniejszych niż 0.4.1 — dotyczy wdrożeń korzystających z Git DAG bundle lub Git provider do klonowania repozytoriów przez SSH z użyciem deploy key.

Uwagi

Podatność sklasyfikowana jako CWE-322 (Key Exchange without Entity Authentication). Poprawka wprowadzona w pull requeście apache/airflow#69103. Informacja opublikowana 2026-07-13 na liście oss-security.