GitHub 安全公告库 (GHSA)·2026-10-20 01:06· 3 天前AI 评分40

russh SSH 服务器未校验公钥认证签名算法与请求算法是否一致（CWE-347）

A russh SSH server accepts a publickey authentication whose signature uses a different algorithm than the one named in the request

AI 导读

russh 的 SSH 服务器在 publickey 认证中从不比对请求声明的算法与签名自带算法，导致请求可声明 rsa-sha2-512 而实际提交 ssh-rsa（SHA-1）签名仍通过验证，影响 0.34.0-beta.1 至 0.63.3 及当前 main 的全部版本。