CVE-2026-84897
ŚrednieCVSS 6.9Streszczenie
Podatność w wolfSSH do wersji 1.5.0 pozwala nieuwierzytelnionemu klientowi wysłać komunikaty wymiany grup Diffie-Hellmana (SSH_MSG_KEX_DH_GEX_GROUP i SSH_MSG_KEX_DH_GEX_REPLY) do serwera, który nie sprawdza kierunku tych komunikatów. Serwer uruchamia wówczas procedurę przeznaczoną dla klienta, co prowadzi do kosztownych testów pierwszości Millera-Rabina na danych sterowanych przez atakującego, a następnie do wygenerowania pary kluczy w grupie wybranej przez atakującego.
Ocena ryzyka
Ryzyko obejmuje potencjalne przeciążenie serwera (kosztowne obliczenia) oraz możliwość naruszenia bezpieczeństwa sesji SSH, ponieważ serwer używa grupy Diffie-Hellmana dostarczonej przez atakującego, co może umożliwić ataki typu man-in-the-middle lub osłabienie negocjacji kluczy.
Rekomendacja
Zaleca się natychmiastową aktualizację wolfSSH do wersji nowszej niż 1.5.0, jeśli dostępna, lub zastosowanie obejścia, np. wyłączenie wsparcia dla diffie-hellman-group-exchange-sha256 (definiując WOLFSSH_NO_DH_GEX_SHA256) w konfiguracji kompilacji.
Inne podatności w wolfSSH
Zobacz wszystkie- CVE-2026-83742Średnie
Niedopełnienie liczby całkowitej bez znaku w funkcji wstrncat() w src/port.c w wolfSSH od wersji 1.4.11 do 1.5.0 na platformach innych niż Windows umożliwia uwierzytelnionemu zdalnemu atakującemu zapisanie jednego bajtu zerowego poza końcem bufora stosu poprzez wysłanie spreparowanej ścieżki SFTP. Funkcja wolfSSH_RealPath() w src/ssh.c dołącza każdy komponent ścieżki z ograniczeniem pozostałego rozmiaru (outSz - curSz) zamiast pełnego rozmiaru docelowego, więc gdy skumulowana ścieżka osiągnie połowę bufora wyjściowego, obliczenie size_t n - strlen(s1) - 1 zawija się do wartości bliskiej SIZE_MAX. Wywołanie strncat() jest wtedy praktycznie nieograniczone i kopiuje cały komponent; gdy ten komponent dokładnie wypełnia resztę bufora, jego kończący bajt zerowy jest zapisywany jeden bajt poza końcem. Własna kontrola długości przez wywołującego utrzymuje skopiowane dane wewnątrz bufora, więc przepełnienie jest ograniczone do tego pojedynczego bajtu zerowego, który może uszkodzić sąsiednią wartość na stosie i spowodować awarię procesu. Aplikacje wywołujące publiczną funkcję wolfSSH_RealPath() z buforem wyjściowym mniejszym niż ścieżka wejściowa są dodatkowo narażone na nieograniczoną kopię, ponieważ wyrażenie word32 outSz - segSz w tej kontroli długości również zawija się.
- CVE-2026-81535Średnie
W wolfSSH do wersji 1.5.0 zbudowanej z opcją --enable-fwd, funkcja DoChannelOpen() w src/internal.c ogranicza tylko otwieranie kanałów direct-tcpip za pomocą wywołania zwrotnego polityki przekazywania. Otwarcia forwarded-tcpip są dopuszczane bez sprawdzenia autoryzacji i nie są ograniczane liczbowo, co pozwala złośliwemu peerowi SSH na przydzielenie nieograniczonych buforów per-kanał dla kanałów przekazywania, których aplikacja nigdy nie autoryzowała. Klient również nie sprawdza otwarcia forwarded-tcpip względem przekazywań zarejestrowanych za pomocą żądania tcpip-forward, jak wymaga RFC 4254 sekcja 7.2, więc złośliwy serwer może otwierać kanały przekazywania dla adresów i portów, których klient nigdy nie prosił o przekazywanie.
- CVE-2026-16516Krytyczne
wolfSSH nie weryfikuje, czy identyfikator krzywej ECDSA w bloku klucza hosta KEXDH_REPLY odpowiada algorytmowi uzgodnionemu podczas wymiany kluczy. Aktywny atakujący typu man-in-the-middle może podstawić blok klucza hosta z inną krzywą ECDSA, co powoduje zaimportowanie klucza na niewłaściwej krzywej, a ponieważ atakujący kontroluje klucz prywatny dla podstawionej krzywej, weryfikacja podpisu przechodzi.
- CVE-2025-14942Krytyczne
Maszyna stanowa wymiany kluczy w wolfSSH może być manipulowana w celu ujawnienia hasła klienta w postaci jawnej, nakłonienia klienta do wysłania fałszywego podpisu lub pominięcia uwierzytelniania użytkownika. Dotyczy to aplikacji klienckich z wolfSSH w wersji 1.4.21 i wcześniejszych.
- CVE-2025-15382Wysokie
W bibliotece wolfSSH wykryto podatność polegającą na odczycie poza zakresem pamięci sterty w funkcji wolfSSH_CleanPath(). Zdalny, uwierzytelniony atakujący może wywołać ten problem, wysyłając spreparowaną ścieżkę SCP zawierającą sekwencje '/./', co prowadzi do odczytu o 1 bajt poza przydzielonym buforem.
Oryginalny opis (angielski, źródło NVD)
src/internal.c in wolfSSL wolfSSH through 1.5.0 admits the server-to-client Diffie-Hellman group exchange messages SSH_MSG_KEX_DH_GEX_GROUP (31) and SSH_MSG_KEX_DH_GEX_REPLY (33) when a server receives them from an unauthenticated client. IsMessageAllowedServer() applies no direction check to the key exchange message range: when the peer is keying and no particular message is expected, which is the state a server is in for the whole window after it processes the client's KEXINIT because nothing sets handshake->expectMsgId there, the function falls out of its expectation branch without a verdict and reaches a numeric bound that admits every message id from 30 through 34. A client that negotiates diffie-hellman-group-exchange-sha256 and then sends message 31 makes the server run the client-side handler DoKexDhGexGroup(), which validates the attacker-supplied group with two 8-round Miller-Rabin primality tests, one on p and one on (p-1)/2, on a value of up to 8192 bits. The handler then returns success: the server stores the attacker's prime and generator, generates a Diffie-Hellman key pair in the attacker's group, and sends the client-role message SSH_MSG_KEX_DH_GEX_INIT (32) back to the attacker. Published RFC 3526 safe primes are the worst-case input and cost the attacker nothing to obtain. The primality validation was added in 1.5.0; versions from 1.2.0 through 1.4.22 admit the same message and enter the same client-role path without the primality cost. Message 33 is admitted as well, but on a server it is rejected before any cryptography because no public key check callback is registered, so it carries no comparable cost. Builds that define WOLFSSH_NO_DH_GEX_SHA256, which is implied by WOLFSSH_NO_DH or NO_SHA256, are unaffected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS