CVE-2026-102822

Nome do Software Vulnerável e Versões Afetadas Russh versões anteriores a 0.63.1

Description Uma conexão configurada para permitir mac=none pode negociá-la com uma cifra de bloco CTR ou CBC que exige MAC, pois a lógica de seleção valida needs mac() apenas quando a seleção de MAC falha. Um peer remoto pode enviar um pacote com um comprimento descriptografado de zero, fazendo com que o arquivo russh/src/cipher/mod.rs reduza o bloco lido anteriormente antes de indexar buffer.buffer[16..], o que causa um pânico e encerra a tarefa de conexão.

Recommendations Atualize para a versão 0.63.1.