GHSA-rpq3-v334-f5pm

Weryfikator certyfikatów hosta w net-ssh (`Net::SSH::HostKeyEntries::CertAuthority#matches_key?`) sprawdza dokładnie dwie rzeczy, gdy serwer przedstawia certyfikat OpenSSH (`*[email protected]`) w ramach zaufanego wpisu CA `@cert-authority`: (1) certyfikat jest spójnie podpisany (signature_valid).

W net-ssh funkcja `Service::Forward#initialize` bezwarunkowo rejestruje procedury obsługi kanałów agenta uwierzytelniania inicjowanych przez serwer, przez co zwykłe przekierowanie portów ujawnia lokalnego agenta SSH.

Biblioteka net-ssh ufa 4-bajtowemu polu długości pakietu przesyłanego przez sieć, nie ograniczając go do wartości 35000 bajtów zgodnie z RFC 4253 §6.1. Złośliwy serwer może przed wymianą kluczy (w trybie jawnym) zadeklarować dowolnie dużą długość pakietu i przesyłać dane, powodując nieograniczony wzrost zużycia pamięci po stronie klienta przed uwierzytelnieniem.

Metoda Net::SSH::Transport::ServerVersion#read! dołącza każdy odebrany bajt do @version aż do napotkania znaku nowej linii, a następnie kopiuje do @header, bez limitu długości linii ani całkowitej liczby bajtów. Złośliwy serwer wysyłający długą linię identyfikacyjną bez znaku LF powoduje nieograniczony wzrost zużycia pamięci.

W bibliotekach Net::SSH::Proxy::Command oraz Net::SSH::Proxy::Jump możliwa jest iniekcja poleceń powłoki. Gdy aplikacja konfiguruje proxy i przekazuje do Net::SSH.start (lub ciąg jump do Proxy::Jump.new) wartości host, port lub remote_user pod wpływem atakującego, metaznaki powłoki w tych wartościach mogą zostać zinterpretowane.

Metoda Net::SSH::Transport::Session#poll_message umieszcza każdy pakiet odebrany podczas wymiany kluczy, który nie znajduje się na liście dozwolonych podczas KEX, w nieograniczonej kolejce @queue (tablica) bez limitu rozmiaru. Złośliwy serwer, który ukończy KEXINIT (wprowadzając net-ssh w stan oczekiwania na KEX), a następnie zalewa nie dozwolonymi pakietami, może powodować nieograniczony wzrost pamięci.