CVE-2020-14145
13Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 5.9epss 2.1%
probabilidad de explotación
2.1%top 21% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
Los clientes de OpenSSH filtran información sobre qué algoritmos de cifrado soportan durante la negociación inicial, permitiendo que atacantes en la red observen esto y potencialmente dirijan la conexión.
Detalle técnico
Discrepancia observable (CWE-203) en la negociación de algoritmos del lado del cliente en OpenSSH 5.7–8.4 permite que atacantes MITM infieran algoritmos soportados mediante análisis de sincronización o respuesta durante conexiones iniciales sin claves del servidor en caché; requiere acceso a nivel de red.
Resumen generado y traducido por IA a partir de la descripción oficial.
The client side in OpenSSH 5.7 through 8.4 has an Observable Discrepancy leading to an information leak in the algorithm negotiation. This allows man-in-the-middle attackers to target initial connection attempts (where no host key for the server has been cached by the client). NOTE: some reports state that 8.5 and 8.6 are also affected.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
n/a · n/aReferencias
https://anongit.mindrot.org/openssh.git/commit/?id=b3855ff053f5078ec3d3c653cdaedefaa5fc362dhttps://docs.ssh-mitm.at/CVE-2020-14145.htmlhttps://github.com/openssh/openssh-portable/compare/V_8_3_P1...V_8_4_P1https://github.com/ssh-mitm/ssh-mitm/blob/master/ssh_proxy_server/plugins/session/cve202014145.pyhttps://security.gentoo.org/glsa/202105-35https://security.netapp.com/advisory/ntap-20200709-0004/https://www.fzi.de/en/news/news/detail-en/artikel/fsa-2020-2-ausnutzung-eines-informationslecks-fuer-gezielte-mitm-angriffe-auf-ssh-clients/http://www.openwall.com/lists/oss-security/2020/12/02/1