CVE-2026-102821

Nome do Software Vulnerável e Versões Afetadas Russh versões anteriores a 0.63.2

Description Um peer remoto autenticado pode causar a exaustão de memória ao enviar SSH MSG KEXINIT sem o SSH MSG KEX ECDH INIT obrigatório e, subsequentemente, inundar com mensagens SSH MSG CHANNEL OPEN. Isso ocorre porque o SessionKexState::InProgress impede que o priority receiver em russh/src/server/session.rs seja esvaziado. Consequentemente, o servidor continua a processar a entrada de rede e enfileira um ChannelOpenReply para cada solicitação em um canal ilimitado, permitindo que uma única conexão consuma memória até que o processo seja encerrado.

Recommendations Atualizar para a versão 0.63.2.