PT-2026-44151
CVE-2026-45309
·
تاريخ النشر
2026-05-27
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات asyncssh من 2.22.0 إلى 2.23.0
الوصف
توجد مشكلة أثناء إعادة تحميل تكوين الخادم قبل المصادقة، حيث يتم توسيع الرمز المميز
%u في الإعداد AuthorizedKeysFile باستخدام اسم المستخدم الخام لـ SSH دون رفض فواصل المسار أو مقاطع ... وهذا يسمح لمهاجم عن بُعد باستخدام اجتياز المسار في اسم المستخدم لإجبار الخادم على قراءة ملف المفاتيح المصرح بها من موقع خارج الدليل المقصود. إذا تمكن المهاجم من الإشارة إلى ملف قابل للقراءة بتنسيق ملفات المفاتيح المصرح بها يحتوي على مفتاحه العام أو وضعه في هذا الموقع، فيمكنه المصادقة بنجاح عبر SSH باسم المستخدم المستخدم في تقاطع المسار.التوصيات
قم بالتحديث إلى الإصدار 2.23.1 أو أحدث.
كحل مؤقت، تأكد من أن التطبيق يرفض أسماء المستخدمين التي تحتوي على
/ أو `` أو .. قبل معالجتها لاختيار ملف المفاتيح. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾