CVE-2026-60002
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W OpenSSH przed wersją 10.4 występuje podatność use-after-free w kliencie SSH podczas ponownej wymiany kluczy, gdy serwer zmienia swój klucz hosta. Problem dotyczy wyłącznie strony klienta.
Ocena ryzyka
Atakujący serwer SSH może wykorzystać tę podatność do zdalnego wykonania kodu lub wywołania awarii klienta SSH, co może prowadzić do przejęcia kontroli nad sesją lub wycieku danych.
Rekomendacja
Należy niezwłocznie zaktualizować OpenSSH do wersji 10.4 lub nowszej na wszystkich systemach klienckich. Jeśli aktualizacja nie jest możliwa, należy ograniczyć zaufanie do serwerów SSH zmieniających klucze hosta.
Oryginalny opis (angielski, źródło NVD)
ssh in OpenSSH before 10.4 can have a use-after-free when a server changes its host key during a key re-exchange. (This outcome occurs only on the client side.)