CVE-2021-36367
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
21Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 8.1epss 1.1%
Em resumo
O PuTTY permite que conexões SSH continuem mesmo sem autenticação adequada, facilitando ataques onde servidores falsos conseguem enganar usuários para roubar suas senhas.
Detalhe técnico
PuTTY não valida corretamente a conclusão da autenticação antes de estabelecer a sessão SSH, permitindo que um servidor SSH controlado por atacante contorne verificações de autenticação e apresente prompts falsificados para captura de credenciais. A vulnerabilidade exige interação do usuário com servidor malicioso, mas possibilita interceptação de senhas.
Resumo gerado e traduzido por IA a partir da descrição oficial.
PuTTY through 0.75 proceeds with establishing an SSH session even if it has never sent a substantive authentication response. This makes it easier for an attacker-controlled SSH server to present a later spoofed authentication prompt (that the attacker can use to capture credential data, and use that data for purposes that are undesired by the client user).
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Produtos afetados
n/a · n/a