FICHE CVE

CVE-2026-4541

Publiée le 2026-03-22 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de TinySSH allant jusqu'à 20250501 sont affectées par une faille dans la manière dont les signatures cryptographiques Ed25519 sont vérifiées. Un utilisateur local disposant déjà d'un accès bas niveau au système pourrait potentiellement contourner les vérifications de signature, bien que la complexité technique d'une telle opération soit très élevée. Cette attaque nécessite un accès local au shell et est difficile à exécuter en pratique.

CVSS 4.01.1 FAIBLE

Type de faiblesse

Vérification d'authenticité insuffisante · CWE-345 Vérification de signature incorrecte · CWE-347

Publiée2026-03-22

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw has been found in janmojzis tinyssh up to 20250501. Impacted is an unknown function of the file tinyssh/crypto_sign_ed25519_tinyssh.c of the component Ed25519 Signature Handler. This manipulation causes improper verification of cryptographic signature. The attack is restricted to local execution. The attack's complexity is rated as high. The exploitability is considered difficult. The exploit has been published and may be used. Upgrading to version 20260301 is recommended to address this issue. Patch name: 9c87269607e0d7d20174df742accc49c042cff17. Upgrading the affected component is recommended.