NewStart CGSL MAIN 6.02：libssh 多个漏洞 (NS-SA-2021-0069)

high Nessus 插件 ID 147245

语言：

简介

远程机器受到多个漏洞影响。

描述

运行 MAIN 6.02 版本的远程 NewStart CGSL 主机上安装的 libssh 程序包受到多个漏洞的影响：

- 在 0.8.9 之前和 0.9.4 之前的 libssh 版本中，在处理 AES-CTR（或 DES 密码，如启用）密码的方式中发现一个缺陷。在连接尚未完全初始化且系统在关闭连接时尝试清除密码时，服务器或客户端可能崩溃。此漏洞最大的威胁对象是系统可用性。(CVE-2020-1730)

- 在 0.9.3 之前和 0.8.8 之前的版本中，在 libssh API function ssh_scp_new() 中发现一个缺陷。
当 libssh SCP 客户端连接到服务器时，会在服务器端执行包含用户所提供路径的 scp 命令。如果使用库时，用户能够影响该函数的第三个参数，攻击者可能会注入任意命令，从而危机远程目标。(CVE-2019-14889)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。