PT-2026-48466
CVE-2026-48859
·
تاريخ النشر
2026-06-10
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Erlang/OTP من 29.0 إلى 29.0.1
إصدارات ssh من 6.0 إلى 6.0.0
الوصف
تسمح ثغرة القناة الجانبية للتوقيت في مصادقة كلمة المرور للمهاجمين عن بُعد غير المصادق عليهم بتعداد أسماء المستخدمين. عندما يتم تكوين برنامج SSH الخفي باستخدام خيار
user passwords أو password، تقوم الدالة check password/3() في الوحدة النمطية ssh auth بإجراء حساب PBKDF2-SHA256 لأسماء المستخدمين الصالحة، ويستغرق ذلك حوالي 300 مللي ثانية. وعلى العكس من ذلك، بالنسبة لأسماء المستخدمين غير الصالحة، تعود الدالة get password option/2() في الوحدة النمطية ssh options فورًا. ويسمح هذا التباين للمهاجم بالتمييز بين أسماء المستخدمين الصالحة وغير الصالحة في محاولة واحدة.التوصيات
تحديث Erlang/OTP إلى الإصدار 29.0.2 أو أحدث.
تحديث ssh إلى الإصدار 6.0.1 أو أحدث.
استخدام الخيار
pwdfun بدلاً من user passwords للمصادقة باستخدام كلمة المرور.تقييد الوصول إلى منفذ SSH على الشبكات الموثوقة عبر قواعد جدار الحماية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾