注目★★★★★GitHub Advisory
russh 0.34.0以降にDoS脆弱性 CVE-2026-48110 割り当て先行パーサーが原因
30秒で把握
- 1CVE-2026-48110: russh 0.34.0以降に割り当て先行パーサーによるDoS脆弱性
- 20.34.0〜0.57.xはzlib+CryptoVec+KEXINIT組み合わせで影響大・0.58.0以降も残存
- 3修正済みバージョンへの更新を検討・リモートから悪用可能なリソース枯渇問題
要約
russhのSSHメッセージハンドラーが、フィールド固有の上限チェック前に攻撃者制御の文字列やバイトフィールドをメモリ割り当てしていた脆弱性（CVE-2026-48110）が公開された。リモートのSSHピアが過大・高展開・不正なフィールドを送信することで、リジェクトされるべき入力がリジェクトされる前にライブラリが過剰なメモリ割り当てや分割処理を試みる。影響を受けるバージョンはrussh 0.34.0以降で、0.34.0〜0.57.xはzlib圧縮・CryptoVec・KEXINIT名前リスト展開の組み合わせで深刻度が高く、0.58.0以降でもVec/String/名前リストのリソース枯渇問題として残存する。修正済みバージョンへの更新が推奨される。
あなたへの影響
russhをSSHサーバー・クライアント実装に組み込んでいるチームは、使用バージョンを確認し修正済みバージョンへ更新することを検討してほしい。
推奨：直ちに悪用が確認されているわけではなく、即時対応の緊急度は中程度。