- Son 7 gün
- CWE-400
- CWE-835
CVE-2026-116774
russh (Rust SSH kütüphanesi): sıfır maksimum paket boyutu kanal yazmalarını kalıcı olarak askıya alıyor
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, SSH bağlantılarını kullanan bazı yazılımların sessizce takılmasına ve kaynakların tükenmesine neden olabilir. Doğrudan veri sızıntısı riski taşımasa da hizmet kesintisi riski oluşturur. Etkilenen sürüm kullanılıyorsa güncelleme orta öncelikli olarak planlanmalıdır.
ÖzetTürkçe
russh, Rust ile yazılmış bir SSH istemci ve sunucu kütüphanesidir. 0.60.0 ile 0.65.0 öncesi sürümlerde kanal açma ayrıştırıcısı, karşı tarafın bildirdiği maximum_packet_size değerinin sıfır olmasını kabul etmekte ve bu değeri yazılabilirlik hesabına dahil etmektedir. Bu durumda asenkron yazma işlemleri yazılabilir boyutu sıfır hesaplar ve pencere güncellemeleri bu sınırı değiştiremediği için süresiz beklemede kalır. Etkilenen uygulamalar, bu kütüphaneyi kullanan SSH istemci ve sunucu yazılımlarıdır.
Saldırgan ne yapabilir?
Kimliği doğrulanmış bir istemci sunucu tarafındaki yazmaları, kötü niyetli bir sunucu ise istemci tarafındaki yazmaları askıya alabilir. Hata verilmeden görevler, kanallar ve bağlantılar birikerek kaynak tüketimine ve hizmet aksamasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
russh is a Rust SSH client and server library that includes an SSH agent protocol implementation. From 0.60.0 until 0.65.0, channel-open parsing accepts a peer-declared maximum_packet_size of zero and passes it into ChannelTx::poll_writable in russh/src/channels/io/tx.rs. The Channel::data, Channel::make_writer, and Channel::into_stream asynchronous write paths then calculate a writable size of zero and remain pending forever because window adjustments cannot satisfy a static zero packet maximum. An authenticated client can strand server writes, and a malicious server can strand client writes, allowing affected tasks, channels, and connections to accumulate without surfacing an error. This issue is fixed in version 0.65.0.
Ne yapmalı?
- russh kütüphanesini 0.65.0 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Bu kütüphaneyi kullanan uygulamaları yeniden derleyip yeniden başlatarak güncellemenin etkin olduğunu doğrulayın. Genel öneri
- Güncelleme yapılana kadar, kanal yazmalarının takılı kalmasını izlemek için zaman aşımı ve bağlantı süresi denetimleri ekleyin. Genel öneri
Ek önlemler
- Bağlantı sayısı ve açık kanal sayısındaki beklenmedik artışları izleyin. Genel öneri
- Kimliği doğrulanmamış veya güvenilmeyen istemci ve sunuculara karşı SSH bağlantılarında kaynak sınırları uygulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eugeny russh | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.