Cyber ·
CVE-2026-111422: Apache Airflow SSH provider executa valores de environment como shell remoto
Aviso de gravidade baixa sobre o SSH provider do Apache Airflow antes da versão 7.0.1. Valores do parâmetro environment eram inseridos em um script wrapper já entre aspas, e sintaxe de shell como $(...) podia ser executada no host SSH remoto. O aviso foi publicado em 26 de outubro de 2026.
Em 26 de outubro de 2026, foi divulgado no feed oss-sec o identificador CVE-2026-111422, referente ao SSH provider do Apache Airflow. Segundo o texto recebido, a falha afeta a versão 4.3.0 até antes da 7.0.1, e a gravidade é classificada como baixa.
O problema está no SSHRemoteJobOperator. Os valores do parâmetro environment recebiam aspas apenas uma vez, embora fossem inseridos dentro de um script wrapper que já estava entre aspas. Por isso, sintaxe de shell como $(...) em um valor podia ser executada no host SSH remoto. O aviso cita como caso relevante uma DAG que receba entradas fornecidas no momento do acionamento, como params.
O texto recebido indica que a correção está na versão 7.0.1 do provider. Para verificar a exposição, confira a versão instalada do pacote apache-airflow-providers-ssh e observe se DAGs passam valores externos para environment. A descrição completa, incluindo eventuais recomendações adicionais, está no aviso original, que deve ser consultado diretamente antes de qualquer decisão.
A Rota Nacional não corrige nem substitui o Apache Airflow e não resolve esta falha de engenharia. Este registro é apenas informativo para equipes que operam pipelines com esse provider.