CVE-2026-68930
Publiée le 2026-08-03 · Dernière modification le 2026-10-23
Les applications utilisant la bibliothèque Rust Russh en tant que serveur SSH sont concernées. Un attaquant authentifié disposant d'un accès de bas niveau peut envoyer des requêtes spécialement conçues pour déclencher des rappels (callbacks) côté serveur pour des canaux inexistants, ce qui pourrait lui permettre de modifier l'état du système ou d'exécuter des commandes non autorisées. Cela peut être effectué à distance via le réseau, sans aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Russh is a Rust SSH client & server library. Prior to 0.62.5, russh dispatches channel-scoped Handler callbacks for recipient channel IDs that were never opened or confirmed in russh/src/server/encrypted.rs, server_read_authenticated, and the exec_request callback. Version 0.62.5 fixes the issue.