PT-2026-42710 · Openssh+3 · Openssh+3
CVSS v2.0
9.4
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:N |
Nome do Software Vulnerável e Versões Afetadas
O nome do produto não pôde ser determinado (versões afetadas não especificadas)
Descrição
O método
Verify() para tipos de chaves de segurança FIDO/U2F sk-ecdsa-sha2-nistp256@openssh.com e sk-ssh-ed25519@openssh.com não verificava a flag de Presença do Usuário. Isso permitia que assinaturas geradas sem toque físico fossem aceitas, possibilitando o uso desacompanhado de uma chave de segurança de hardware.Recomendações
Retorne uma extensão "no-touch-required" em
Permissions.Extensions a partir de PublicKeyCallback para restaurar o comportamento anterior.Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Linuxmint
Openssh
Red Os
Ubuntu