«Уязвимость» в SSH: любой аутентифицированный пользователь может выполнить команду на сервере

ssh2RCE

На сайте ssh2rce.com опубликовано «критическое» уведомление SSH2RCE-0022 о выполнении произвольных команд в SSH. На деле это штатное поведение протокола по RFC 4254 §6.5: атакующий с валидными учётными данными подключается по TCP-порту 22, аутентифицируется и отправляет exec-запрос, который сервер выполняет от имени учётной записи. Уязвимы все реализации SSH, включая OpenSSH от 2.1.1p4 до 10.6p2, Dropbear, Win32-OpenSSH, libssh, Paramiko и другие. Патча нет и не будет, CVE пока не присвоен, а оценка CVSS 3.1 составляет 9.9, хотя расширенная методология даёт 22 из 10. Сессия логируется как обычный вход, поэтому активность неотличима от легитимного администрирования.