CVE-2026-45309
Açıklama
AsyncSSH, Python asyncio çerçevesi üzerinde SSHv2 protokolünün asenkron bir istemci ve sunucu uygulamasını sağlayan bir Python paketidir. 2.23.0 sürümünden önce AsyncSSH; asyncssh/config.py, asyncssh/connection.py, asyncssh/auth_keys.py ve asyncssh/misc.py dosyalarında, kimlik doğrulama öncesi sunucu yapılandırması yeniden yüklemesi sırasında OpenSSH uyumlu AuthorizedKeysFile %u belirtecini ham SSH kullanıcı adıyla genişletmektedir. Bu durum, AuthorizedKeysFile authorized_keys/%u şeklinde yapılandırılmış bir sunucunun, SSH kullanıcı adı /, \, veya .. yol geçişi (path traversal) bölümleri içerdiğinde hedeflenen dizinin dışındaki bir authorized-keys dosyasını okumasına ve saldırgan tarafından seçilen bir anahtar dosyasıyla kimlik doğrulamasına olanak tanır. Bu sorun 2.23.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- asyncssh_project asyncssh2.23.0 ya da sonraki bir sürüm
- asyncssh2.23.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| asyncssh_project asyncssh | v < 2.23.0 | 2.23.0 |
| asyncsshPyPI | 2.22.0 ≤ v < 2.23.0 | 2.23.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.