FICHE CVE

CVE-2024-6409

Publiée le 2024-07-08 · Dernière modification le 2026-10-15

🇫🇷 EN BREF

Les serveurs OpenSSH sont affectés par une condition de concurrence (race condition) dans la manière dont le service gère les délais d'expiration des connexions. Un attaquant distant et non authentifié pourrait potentiellement exécuter du code en tant qu'utilisateur non privilégié, bien que cela nécessite une grande précision technique pour synchroniser l'attaque correctement. Aucune interaction de l'utilisateur n'est requise, mais la complexité de l'exploit le rend difficile à mettre en œuvre en pratique.

CVSS 3.17.0 ÉLEVÉE

Type de faiblesse

CWE-364

Publiée2024-07-08

Dernière modification2026-10-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A race condition vulnerability was discovered in how signals are handled by OpenSSH's server (sshd). If a remote attacker does not authenticate within a set time period, then sshd's SIGALRM handler is called asynchronously. However, this signal handler calls various functions that are not async-signal-safe, for example, syslog(). As a consequence of a successful attack, in the worst case scenario, an attacker may be able to perform a remote code execution (RCE) as an unprivileged user running the sshd server.