CVE-2026-94135 Apache Airflow SFTPプロバイダのSSH検証無効脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Apache AirflowのSFTPプロバイダに、SSHホストキー検証がデフォルトで無効な脆弱性が確認されています。デファラブルモードでSFTPセンサーやオペレータを使用している環境では、中間者攻撃によりサーバーのなりすましや認証情報・データの盗聴が可能になります。影響を受けるユーザーは、apache-airflow-providers-sftpを7.0.0以上にアップグレードする必要があります。既にCVE-2026-94134の修正を適用している場合でも、同様のバージョンアップが必須です。確認時は、SFTP接続設定に`no_host_key_check`がfalseに設定されているかを確認し、運用中のAirflowタスクがデファラブルモードで動作していないかを点検してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質は、信頼を裏切ることにあるだろう。SSHホストキー検証がデフォルトで無効な状態は、信頼の構造そのものを崩壊させる。この「信頼」がなぜ重要なのか、君はどのように考えている？
先生、確かにそうですね。しかし、現実の運用では、この「信頼」を再構築するための具体的な手順が必要です。まず、現行のSFTP接続設定で`no_host_key_check`がfalseに設定されているか確認すべきです。この設定がtrueのままでは、攻撃者がサーバーをなりすますリスクが残るのです。
では、その確認が完了した後、次のステップは？パッチ適用の重要性に言及するが、なぜ「7.0.0以上へのアップグレード」が必須なのか？
先生、この脆弱性はdeferrableモードのコードパスに特化しています。既にCVE-2026-94134の修正を適用していても、このバージョンアップが必須です。現状のバージョンが7.0.0未満であれば、アップグレード手順を確認し、パッケージ管理システムで最新版を導入する必要があります。
しかし、このアップグレードが運用に与える影響を考慮する必要がありますね。パッチ適用後の変更管理がなぜ重要なのか、説明してみよ。
もちろんです。変更管理は、アップグレード後にタスクが正常に動作するかを確認するためです。特に、deferrableモードで動作しているタスクが存在する環境では、テスト環境で事前に動作確認を行い、本番環境への適用を段階的に進めることを推奨します。
監視の重要性についても言及せよ。なぜ、この脆弱性が発覚した後でも、監視が不可欠なのか？
先生、監視はリスクの早期発見に役立ちます。例えば、SFTP接続時のログに異常なホストキーが記録されているかを監視し、異常なアクセスを検知する仕組みを構築する必要があります。また、ベンダーの公式情報やNVDの更新状況を定期的に確認し、新たな修正情報がないかをチェックすることも重要です。
では、この脆弱性を乗り越えるには、信頼の再構築と運用の細やかさが不可欠だ。君は、この対応を「哲学」ではなく「実践」と呼ぶだろうな。
先生、確かに。哲学は問いを投げかけますが、答えは、設定ファイルの一行やパッケージのバージョンアップにこそあるのです。
関連キーワード: apache