CVE-2026-48850
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
PuTTY w wersjach od 0.72 do przed 0.84 zawiera podwójne zwolnienie pamięci (double free) w obsłudze wymiany kluczy RSA (RSA KEX).
Ocena ryzyka
Organizacja może być narażona na awarię klienta PuTTY lub potencjalne wykonanie dowolnego kodu podczas nawiązywania połączenia SSH z wykorzystaniem RSA KEX.
Rekomendacja
Zaleca się aktualizację PuTTY do wersji 0.84 lub nowszej, która zawiera poprawkę dla tej podatności.
Inne podatności w PuTTY
Zobacz wszystkie- CVE-2017-6542Krytyczne
Funkcja ssh_agent_channel_data w PuTTY przed wersją 0.68 pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez dużą wartość długości w wiadomości protokołu agenta, co prowadzi do przepełnienia bufora.
- CVE-2026-48852Niskie
W PuTTY w wersjach od 0.71 do 0.83 występuje błąd asercji podczas weryfikacji podpisu ECDSA. Problem został naprawiony w wersji 0.84.
- CVE-2026-48851Niskie
W kliencie PuTTY w wersjach 0.77 do 0.83 wykryto, że ikona PuTTY jest używana jako wskaźnik zaufania dla danych TELNET, ale stan zaufania nie jest resetowany między uwierzytelnianiem proxy a sesją główną.
Oryginalny opis (angielski, źródło NVD)
PuTTY 0.72 before 0.84 has a double free in RSA KEX.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS