GO-2020-0013

vendorUSosv

Man-in-the-middle attack in golang.org/x/crypto/ssh

Advisory ansehen veröffentlicht 2021-04-14Lizenz: per source

By default host key verification is disabled which allows for man-in-the-middle attacks against SSH clients if ClientConfig.HostKeyCallback is not set.

beschreibt (1)

Zugehörige CVEs.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2017-3204US	high8.1	3.16% (88th)	—	2017-04-04
The Go SSH library (x/crypto/ssh) by default does not verify host keys, facilitating man-in-the-middle attacks. Default behavior changed in commit e4e2799 to require explicitly reg…

Referenzen

Externe Belege — Patches, Meldungen, Analysen.

https://bridge.grumpy-troll.org/2017/04/golang-ssh-security/WEB
https://go.dev/cl/38701FIX
https://go.dev/issue/19767REPORT
https://go.googlesource.com/crypto/+/e4e2799dd7aab89f583e1d898300d96367750991FIX

scry

Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan