在 SSH 协议套件的实现 OpenSSH 中发现两个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2014-2532 Jann Horn 发现 OpenSSH 错误地处理 AcceptEnv 行中的通配符。远程攻击者可利用此问题来诱骗 OpenSSH 接受包含通配符字符之前的字符的任何环境变量。

- CVE-2014-2653 据 Matthew Vernon 报告，如果 SSH 服务器提供 ssh 客户端不接受的 HostCertificate，则该客户端不会检查 SSHFP 记录的 DNS。因此，恶意服务器可通过提供证书来禁用 SSHFP 检查。

请注意，连接之前仍会显示主机验证提示。

检测

Debian DSA-2894-1：openssh - 安全更新

medium Nessus 插件 ID 73350

未找到变更日志