russh: Fehlende Benutzerbestätigung für Schlüssel im SSH-Agent-Server

Zusammenfassung

russh, eine SSH-Client- und Server-Bibliothek in Rust, ruft in seinem Agent-Server die Methode Agent::confirm nicht auf für Schlüssel, die mit der Bestätigungs-Einschränkung (ssh-add -c) hinzugefügt wurden. Anwendungen, die Agent::confirm überschreiben, um eine Benutzerfreigabe zu verlangen, sind betroffen. Ein Angreifer, der den Agent-Socket erreichen kann, einschliesslich der Gegenseite eines weitergeleiteten Agenten, kann einen solchen Schlüssel ohne Freigabe nutzen, um sich als Benutzer zu authentifizieren oder Daten in dessen Namen zu signieren, solange der Schlüssel geladen bleibt.

Betroffen

• russh ab 0.50.0-beta.12 bis vor 0.65.0
• Nur Anwendungen, die den russh-Agent-Server betreiben und Agent::confirm überschreiben, sind betroffen.

Behoben in

• Auf russh 0.65.0 oder neuer aktualisieren.

Umgehung

• Falls ein Update nicht möglich ist, die Freigabeprüfung im Hook Agent::confirm_request implementieren, der bei jeder Signaturanfrage weiterhin ausgeführt wird.
• Agent-Sockets nicht an nicht vertrauenswürdige Hosts weiterleiten.
• Mit ssh-add -c geladene Schlüssel aus russh-basierten Agenten entfernen, falls die Bestätigung wichtig ist.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Nicht in der CISA-KEV-Liste enthalten.
• EPSS 0,16 % (Perzentil 5).
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Software in der eigenen Umgebung identifizieren, die russh verwendet, zum Beispiel Entwicklerwerkzeuge, Automatisierungswerkzeuge oder SSH-Clients, und bei den Herstellern nachfragen, ob russh eingesetzt wird und in welcher Version.
• Betroffene Software oder eigene Builds im normalen Patch-Zyklus auf russh 0.65.0 oder neuer aktualisieren, mit höherer Priorität für Produkte, die einen russh-Agenten mit Freigabeabfragen nutzen.
• Prüfen, ob auf Systemen mit betroffener Software weitergeleitete Agent-Sockets verwendet werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub security advisory GHSA-vp5q-ff62-jwqv github.com
• russh v0.65.0 release github.com
• Fix commit: call Agent::confirm github.com
• Regression commit: Native async traits encore github.com
• GitLab advisory CVE-2026-116794 advisories.gitlab.com
• OSV GHSA-vp5q-ff62-jwqv osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:06.