CVE-2003-1562
Publiée le 2003-12-31 · Dernière modification le 2026-06-16
Les serveurs OpenSSH version 3.6.1p2 et antérieures sont concernés lorsqu'ils sont configurés pour désactiver les connexions root tout en utilisant l'authentification PAM keyboard-interactive. Un attaquant distant et non authentifié peut utiliser des mesures précises du temps de réponse du serveur pour déterminer si une tentative de mot de passe root est correcte, ce qui pourrait faciliter une attaque par force brute. Bien que cela nécessite un accès réseau, l'exécution est difficile car elle repose sur la mesure de différences temporelles minimes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
sshd in OpenSSH 3.6.1p2 and earlier, when PermitRootLogin is disabled and using PAM keyboard-interactive authentication, does not insert a delay after a root login attempt with the correct password, which makes it easier for remote attackers to use timing differences to determine if the password step of a multi-step authentication is successful, a different vulnerability than CVE-2003-0190.