CVE-2026-58065: Airflow Git-provider tjekker ikke SSH-nøgler

Apache Airflow Providers Git er en udvidelse, der lader Airflow hente DAG-filer, filer der beskriver automatiserede arbejdsgange, fra et git-lager via SSH. I version 0.4.1 og tidligere er SSH-værtsnøgleverifikation, kontrollen af at serveren i den anden ende er den rigtige, slået fra som standard med indstillingen StrictHostKeyChecking=no. En angriber, der kan placere sig på netværksvejen mellem Airflow-arbejderen og git-serveren, kan derfor udgive sig for serveren, opsnappe den SSH-nøgle, der bruges til at logge ind, eller sende ondsindet kode ind i det hentede lager. Fejlen er registreret som CVE-2026-58065 med CWE-kategorien 322, nøgleudveksling uden godkendelse af modparten.

Det rammer virksomheder og kommuner, der bruger Apache Airflow til at styre databehandlinger, og som har konfigureret Git-provideren eller Git DAG bundle til at klone kode via SSH med en deploy-nøgle. Alle versioner af apache-airflow-providers-git før 0.4.1 er berørt. Det gælder typisk it-afdelinger med egne Airflow-installationer on-premise eller i egen sky, ikke nødvendigvis fuldt administrerede Airflow-tjenester, hvor udbyderen selv styrer opsætningen af providere og nøgler.

Hvis en angriber kan komme ind mellem Airflow-arbejderen og git-serveren, for eksempel via et kompromitteret internt netværk, en manipuleret DNS-opslag eller en usikker delt netværksforbindelse, kan angriberen udgive sig for git-serveren. Det giver mulighed for at stjæle SSH-nøglen, der bruges til at hente kode, eller for at bytte det hentede lager ud med ondsindet indhold. Da Airflow ofte kører med vide rettigheder til databaser og andre systemer, kan ondsindet kode i en DAG-fil sprede sig videre og give angriberen adgang til fortrolige data eller mulighed for at ændre og stoppe kritiske databehandlinger.

Sårbarheden har en CVSS-score på 8,1 ud af 10 og er kategoriseret som alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, men det kræver, at angriberen først opnår en position på netværket mellem Airflow og git-serveren, hvilket er baggrunden for den høje angrebskompleksitet i vurderingen. Er den position først opnået, får angriberen fuld indsigt i og mulighed for at ændre den kode, Airflow henter og kører. Der er ingen offentlig oplysning om, at sårbarheden er udnyttet i praksis pr. offentliggørelsesdatoen.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér apache-airflow-providers-git til version 0.4.1 eller nyere, hvor SSH-værtsnøgleverifikation er slået til som standard.
2. Opret og udfyld en known_hosts-fil med de korrekte SSH-fingeraftryk for jeres git-server, så Airflow kan bekræfte, at det taler med den rigtige server.
3. Gennemgå netværksstien mellem Airflow-arbejdere og git-serveren, og sørg for at trafikken går gennem et betroet og krypteret netværk eller VPN.
4. Udskift de SSH deploy-nøgler, der har været i brug, hvis I ikke kan udelukke, at de har været eksponeret før opdateringen.
5. Gennemgå logs for uventede ændringer i klonede DAG-filer eller uventede forbindelser til git-serveren.
6. Hvis I ikke selv har ressourcer til at verificere opsætningen eller vurdere jeres netværksudsættelse, bør I hente hjælp udefra til en gennemgang.