CVE-2026-111061

Nome do Software Vulnerável e Versões Afetadas russh versões anteriores a 0.64.1

Descrição O servidor de agente na biblioteca contém uma falha na qual ele cria uma tarefa de longa duração separada para cada registro SSH AGENT CONSTRAIN LIFETIME recebido em uma solicitação de adição de chave restrita. A função add key() em russh keys::agent::server::add key clona o blob da chave em cada tarefa e não reverte essas tarefas se a análise de restrições subsequente falhar. Um invasor capaz de se comunicar via protocolo de agente localmente ou por meio de encaminhamento de agente pode enviar registros de tempo de vida repetidos para esgotar a memória e a capacidade de tarefas. Isso pode levar ao esgotamento ou encerramento do processo do agente, resultando em uma negação de serviço. Medições técnicas indicam uma amplificação de memória significativa, onde uma pequena quantidade de tráfego de protocolo pode gerar milhões de tarefas ativas e gigabytes de memória resident set size (RSS).

Recomendações Atualize para a versão 0.64.1.