CVE-2023-28531

KrytyczneCVSS 9.8

Opublikowano: 17/03/2023(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

2.22%

Percentyl 81 - wyżej niż 81% wszystkich znanych CVE

Streszczenie

Podatność w ssh-add w OpenSSH przed wersją 9.3 powoduje dodawanie kluczy z kart inteligentnych do ssh-agent bez wymaganych ograniczeń docelowych dla poszczególnych skoków. Problem dotyczy wersji od 8.9.

Ocena ryzyka

Atakujący może wykorzystać klucze z karty inteligentnej do uwierzytelnienia się na nieautoryzowanych hostach, co zwiększa ryzyko niekontrolowanego dostępu do systemów.

Rekomendacja

Zaleca się natychmiastową aktualizację OpenSSH do wersji 9.3 lub nowszej, która zawiera poprawkę usuwającą tę podatność.

Oryginalny opis (angielski, źródło NVD)

ssh-add in OpenSSH before 9.3 adds smartcard keys to ssh-agent without the intended per-hop destination constraints. The earliest affected version is 8.9.