CVE-2026-111062

A russh SSH server accepts a publickey authentication whose signature uses a different algorithm than the one named in the request

CVSS 3.1Medium

2.3/ 10.0

Опубликовано

5 ноября 2026 г.

Обновлено

5 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите russh до версии 0.64.0.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

SSH-сервер russh не проверяет соответствие алгоритма подписи открытого ключа алгоритму, заявленному в запросе на аутентификацию. Клиент с легитимным закрытым RSA-ключом может заявить rsa-sha2-512, предоставив подпись ssh-rsa по алгоритму SHA-1.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях от 0.34.0-beta.1 до 0.64.0 сервер принимает открытый ключ, если подпись валидна, даже если ее фактический алгоритм отличается от заявленного в запросе. Наличие корректной подписи закрытым ключом по-прежнему обязательно, а SSH-клиенты библиотеки уязвимости не подвержены.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Возможен обход ограничений на допустимые алгоритмы аутентификации и искажение журналов аудита в приложениях, полагающихся на запрошенный алгоритм.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

github.comhttps://github.com/Eugeny/russh/security/advisories/GHSA-j7h2-66j4-ghjf
github.comhttps://github.com/Eugeny/russh/pull/759
github.comhttps://github.com/Eugeny/russh/commit/a0ded76bdc352f8fbeaaeb175fb2a0c586fbc8f2
github.comhttps://github.com/Eugeny/russh/releases/tag/v0.64.0

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-111062: A russh SSH server accepts a publickey authentication whose signature uses a different algorithm than the one named in the request. URL: https://cve.futuretools.ru/cve/CVE-2026-111062

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_111062,
  title = {{CVE-2026-111062: A russh SSH server accepts a publickey authentication whose signature uses a different algorithm than the one named in the request}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-111062}},
  note = {Оперативный инженерный анализ киберугроз}
}