CVE-2026-46702
Russh: Post-decompression SSH packet size was not bounded, allowing remote oversized compressed packets
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.61.1
Обновите зависимость russh до версии 0.61.1 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В библиотеке russh размер сжатых SSH-пакетов не проверялся после декомпрессии. Это позволяет удаленному клиенту или серверу исчерпать память и вызвать отказ в обслуживании.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При включенной компрессии SSH входящий сетевой трафик проходит валидацию длины только на уровне транспортного фрейма. Контроль максимального размера буфера в тракте приема после распаковки отсутствовал.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Удаленный DoS через исчерпание системной памяти и вычислительных ресурсов при распаковке пакетов сверхнормативного размера (бомба декомпрессии). В версиях до 0.58.0 усугублялось поведением CryptoVec.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Eugenyrussh
>= 0.34.0➔Fix: 0.61.1
——
>= 0.34.0➔Fix: 0.61.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-46702: Russh: Post-decompression SSH packet size was not bounded, allowing remote oversized compressed packets. URL: https://cve.futuretools.ru/cve/CVE-2026-46702
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_46702,
title = {{CVE-2026-46702: Russh: Post-decompression SSH packet size was not bounded, allowing remote oversized compressed packets}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-46702}},
note = {Оперативный инженерный анализ киберугроз}
}