CVE-2026-48859

Erlang/OTP ssh (ssh_auth, ssh_options modülleri) içerisindeki Gözlemlenebilir Zamanlama Farkı zafiyeti, parola kimlik doğrulamadaki zamanlama yan kanal saldırısı aracılığıyla kimlik doğrulanmamış uzaktan kullanıcı adı numarasının tespit edilmesine olanak tanır. SSH daemon'ı user_passwords veya password seçeneği ile yapılandırıldığında, ssh_auth:check_password/3 geçerli kullanıcı adları için 600.000 yinelemeli (~300ms) bir PBKDF2-SHA256 hesaplaması gerçekleştirirken, geçersiz kullanıcı adları için ssh_options:get_password_option/2 yolu üzerinden hemen (~0ms) yanıt döner. Bu zamanlama farkı tek bir kimlik doğrulama denemesinde tespit edilebilir ve kimlik doğrulanmamış bir saldırganın geçerli kullanıcı adlarını geçersiz olanlardan ayırt etmesine izin verir. user_passwords ve password seçeneklerinin test amaçlı olduğu belgelenmiştir; önerilen alternatif ise bu zafiyetten etkilenmeyen pwdfun seçeneğidir. Bu zafiyet lib/ssh/src/ssh_auth.erl ve lib/ssh/src/ssh_options.erl program dosyaları ile ilişkilidir. Bu sorun, OTP 29.0'dan OTP 29.0.2 öncesine kadar olan sürümleri ve buna karşılık gelen ssh 6.0'dan 6.0.1 öncesine kadar olan sürümleri etkilemektedir.