CVE-2026-116774

اسم البرنامج المصاب والإصدارات المتأثرة russh الإصدارات من 0.60.0 إلى 0.64.0

الوصف russh هي مكتبة عميل وخادم SSH مكتوبة بلغة Rust تتضمن تنفيذًا لبروتوكول وكيل SSH. تقبل عملية تحليل channel-open قيمة maximum packet size معلنة من الطرف الآخر تساوي صفرًا، والتي يتم تمريرها بعد ذلك إلى الدالة poll writable() في russh/src/channels/io/tx.rs. نتيجة لذلك، تقوم مسارات الكتابة غير المتزامنة Channel::data و Channel::make writer و Channel::into stream بحساب حجم كتابة يساوي صفرًا وتظل معلقة إلى الأبد لأن تعديلات النافذة لا يمكن أن تلبي حدًا أقصى ثابتًا للحزمة يساوي صفرًا. يسمح هذا لعميل مصرح له بتعطيل عمليات كتابة الخادم، أو لخادم خبيث بتعطيل عمليات كتابة العميل، مما يؤدي إلى تراكم المهام والقنوات والاتصالات المتأثرة دون ظهور خطأ.

التوصيات التحديث إلى الإصدار 0.65.0.