Longwei Wang

Existe uma falha onde a opção crítica de endereço de origem (source-address) nas Permissões retornadas por certas chamadas de retorno (callbacks) de autenticação não é validada em relação ao endereço remoto do cliente. Isso faz com que as restrições de endereço de origem sejam silenciosamente ignoradas ao usar os callbacks `PasswordCallback`, `KeyboardInteractiveCallback`, `NoClientAuthCallback` e `GSSAPIWithMICConfig.AllowLogin`. A restrição era anteriormente aplicada apenas aos caminhos `PublicKeyCallback` e `VerifiedPublicKeyCallback`.

As funções `ToASCII()` e `ToUnicode()` aceitam incorretamente rótulos codificados em Punycode que são decodificados para um rótulo apenas ASCII. Por exemplo, `ToUnicode("xn--example-.com")` retorna "example.com" em vez de um erro. Esse comportamento pode levar à escalada de privilégios em programas que utilizam o pacote idna; um programa que realiza verificações de privilégios em um nome de host ASCII pode rejeitar "example.com", mas permitir "xn--example-.com", concedendo inadvertidamente acesso a "example.com" após converter o nome do host para Unicode.