CVE-2026-50203: Provedor SFTP do Apache Airflow: path traversal em SFTPHook.retrieve_directory
O provedor SFTP do Apache Airflow contém um path traversal em SFTPHook.retrieve_directory que um servidor SFTP remoto malicioso ou comprometido pode acionar com nomes de entradas de diretório forjados, gravando arquivos fora do destino local configurado. A pontuação CVSS atribuída pelo fornecedor é 9.1 e a versão afetada é anterior a 5.8.1. Recomenda-se atualizar o pacote do provedor para 5.8.1 ou posterior e restringir downloads a servidores confiáveis.
Visão geral
O provedor SFTP do Apache Airflow contém uma fraqueza de path traversal em SFTPHook.retrieve_directory, também acionada pela operação get do SFTPOperator. Um servidor SFTP remoto malicioso ou comprometido pode fornecer nomes de entradas de diretório construídos de forma a fazer arquivos serem gravados fora do diretório local de destino configurado.
Impacto
- Arquivos podem ser criados em locais não previstos no host que executa as tarefas do Airflow, caracterizando a classe de fraqueza CWE-22.
- A pontuação CVSS atribuída pelo fornecedor é 9.1, classificada como crítica no registro.
- Segundo a descrição do fornecedor, não é necessária conta de usuário do Airflow, de modo que a exposição depende de a implantação baixar diretórios de servidores SFTP não confiáveis.
Produtos e versões afetadas
- Apache Software Foundation Apache Airflow SFTP provider (apache-airflow-providers-sftp) anteriores a 5.8.1.
- A versão corrigida indicada nas fontes é 5.8.1.
Situação de exploração
- O registro mostra que este CVE não consta no catálogo CISA KEV. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
- O campo SSVC de exploração está registrado como none. A probabilidade EPSS é 0.00879, com percentil 0.58699, o que é uma estimativa estatística e não evidência de exploração.
Correção e mitigação
- Atualize apache-airflow-providers-sftp para 5.8.1 ou posterior, conforme a descrição do fornecedor e o patch vinculado.
- Até a atualização, limite downloads de diretórios via SFTP a servidores plenamente confiáveis e use diretórios de download dedicados com permissões restritas.
- Revise DAGs e conexões que usam as operações get do SFTP ou retrieve_directory.
Orientação de detecção
- Revise os logs de transferências SFTP em busca de arquivos criados fora do diretório de destino previsto.
- Procure gravações inesperadas feitas por processos de workers do Airflow em caminhos fora das áreas de trabalho esperadas.
Limitações das informações disponíveis
- O registro traz apenas um resumo do tratamento de nomes de entradas de diretório e não inclui prova de conceito técnica. Se uma implantação específica é afetada depende do seu uso de SFTP, que o registro não mostra.
- O registro não descreve o comportamento do patch além do pull request vinculado e da descrição do fornecedor.
Perguntas frequentes
Quais versões são afetadas pelo CVE-2026-50203?
Segundo o registro, o provedor SFTP do Apache Airflow (apache-airflow-providers-sftp) é afetado em versões anteriores a 5.8.1, sendo 5.8.1 a versão corrigida indicada.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não consta no catálogo CISA KEV, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
O atacante precisa de uma conta do Airflow?
A descrição do fornecedor diz que não é necessária conta do Airflow, por isso o risco concentra-se em implantações que baixam diretórios de servidores SFTP não confiáveis.
O que os administradores devem fazer agora?
Atualizar o provedor SFTP para 5.8.1 ou posterior e limitar downloads de diretórios a servidores confiáveis até concluir a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.