CVE-2010-4478

Krytyczne

Opublikowano: 06/12/2010(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

OpenSSH w wersji 5.6 i wcześniejszych, przy włączonym J-PAKE, nieprawidłowo weryfikuje publiczne parametry w protokole J-PAKE. To pozwala zdalnym atakującym na ominięcie konieczności znajomości wspólnego sekretu i pomyślne uwierzytelnienie się, wysyłając spreparowane wartości w każdej rundzie protokołu.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do systemu bez znajomości wspólnego sekretu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację OpenSSH do najnowszej wersji, aby usunąć tę podatność oraz zapewnić prawidłową weryfikację parametrów w protokole J-PAKE.

Oryginalny opis (angielski, źródło NVD)

OpenSSH 5.6 and earlier, when J-PAKE is enabled, does not properly validate the public parameters in the J-PAKE protocol, which allows remote attackers to bypass the need for knowledge of the shared secret, and successfully authenticate, by sending crafted values in each round of the protocol, a related issue to CVE-2010-4252.