CVE-2025-5372
Açıklama
OpenSSL 3.0 öncesi sürümlerle derlenen libssh versiyonlarında, özellikle anahtar türetiminden sorumlu olan ssh_kdf() fonksiyonunda bir hata bulundu. OpenSSL'in başarısızlığı belirtmek için 0 kullanması ve libssh'in başarı için 0 kullanması nedeniyle ortaya çıkan dönüş değerlerinin tutarsız yorumlanması sonucunda; fonksiyon, anahtar türetimi başarısız olsa bile yanlışlıkla başarı durumu döndürebilir. Bu durum, sonraki iletişimde başlatılmamış kriptografik anahtar tamponlarının kullanılmasına yol açarak SSH oturumlarının gizliliğini, bütünlüğünü ve erişilebilirliğini potansiyel olarak tehlikeye atabilir.
Nasıl düzeltilir
- libssh libssh0.11.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| libssh libssh | v < 0.11.2 | 0.11.2 |
| redhat openshift_container_platform | 4.0 | — |
| redhat enterprise_linux | 6.0, 7.0, 8.0, 9.0, 10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.