Vulnerabilidad en Russh (CVE-2025-54804)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-190 Desbordamiento o ajuste de enteros

Fecha de publicación:

05/08/2025

Última modificación:

13/08/2025

Descripción

Russh es una librería de cliente y servidor SSH de Rust. En las versiones 0.54.0 y anteriores, el mensaje de ajuste de la ventana de canal del protocolo SSH se utiliza para rastrear el espacio libre en el búfer de recepción del otro lado de un canal. La implementación actual toma el valor del mensaje y lo añade a un valor de estado interno. Esto puede provocar un desbordamiento de enteros. Si el código de Rust se compila con comprobaciones de desbordamiento, se generará un pánico. Un cliente malicioso puede colapsar un servidor. Esto se solucionó en la versión 0.54.1.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto