CVE-2026-39831
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w metodzie Verify() dla kluczy bezpieczeństwa FIDO/U2F ([email protected], [email protected]) – nie sprawdzano flagi User Presence. Podpisy generowane bez fizycznego dotknięcia były akceptowane, co umożliwiało nieautoryzowane użycie klucza.
Ocena ryzyka
Atakujący może zdalnie użyć klucza bezpieczeństwa bez fizycznej obecności, co pozwala na nieautoryzowany dostęp do systemów chronionych tym kluczem.
Rekomendacja
Zaktualizuj OpenSSH do wersji z poprawką. Jeśli to niemożliwe, dodaj rozszerzenie 'no-touch-required' w Permissions.Extensions z PublicKeyCallback, aby przywrócić poprzednie zachowanie.
Oryginalny opis (angielski, źródło NVD)
The Verify() method for FIDO/U2F security key types ([email protected], [email protected]) did not check the User Presence flag. Signatures generated without physical touch were accepted, allowing unattended use of a hardware security key. To restore the previous behavior, return a "no-touch-required" extension in Permissions.Extensions from PublicKeyCallback.