CVE-2026-46702
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Russh to biblioteka SSH napisana w Rust, która w wersjach od 0.34.0 do przed 0.61.1 miała problem z akceptowaniem skompresowanych pakietów, które po dekompresji były znacznie większe niż dozwolone. To umożliwiało zdalnemu atakującemu wysyłanie pakietów, które powinny być odrzucane, co prowadziło do problemów z dostępnością.
Ocena ryzyka
Dla organizacji oznacza to ryzyko ataku typu denial-of-service, który może prowadzić do wyczerpania zasobów systemowych. W przypadku starszych wersji ryzyko to jest jeszcze większe z powodu użycia CryptoVec.
Rekomendacja
Zaleca się aktualizację do wersji 0.61.1 lub nowszej, aby usunąć tę podatność. Należy również monitorować systemy pod kątem potencjalnych prób ataków wykorzystujących tę lukę.
Oryginalny opis (angielski, źródło NVD)
Russh is a Rust SSH client & server library. From version 0.34.0 to before version 0.61.1, when SSH compression is enabled, russh accepted compressed packets whose on-wire size passed the normal transport packet-length checks but whose decompressed size was much larger. This allowed a remote peer to send oversized post-decompression packets that should have been rejected. In current releases, this is a remote denial-of-service / resource-exhaustion issue in the post-decompression receive path. In older releases before 0.58.0, the same remote decompression path used CryptoVec, which appears to make the historical impact worse. This issue has been patched in version 0.61.1.