ConnectBot SSH Client Library : déni de service par paquet SSH malformé

Veille sécuritéBackend & données

P4Moyenne

Avant la version 0.3.1, le parseur de protocole SSH de ConnectBot SSH Client Library ne vérifie pas que les longueurs et nombres d’éléments déclarés dans un paquet tiennent dans celui-ci. Un serveur SSH malveillant peut provoquer une allocation ou un traitement excessif et une erreur OutOfMemoryError non interceptée, entraînant l’arrêt du processus ; mettre à jour vers 0.3.1.

IdentifiantCVE-2026-54700

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif0.3.1

Source : NVD — CVE-2026-54700

Analyse technique

Un serveur SSH malveillant peut fournir des longueurs internes et des nombres d’éléments disproportionnés par rapport au paquet. Le chemin de transport général ne requiert pas d’authentification ; les messages SSH-agent malformés nécessitent en plus l’agent forwarding.

Impact, versions et correctif

Événement datéPublication et mise à jour NVD le 2026-10-13T16:17:21.560Z, dans la période demandée ; les données fournies indiquent également le correctif en version 0.3.1.

ImpactUn paquet SSH malformé peut épuiser la mémoire ou déclencher un traitement excessif et provoquer l’arrêt du processus ; aucun impact sur la confidentialité ou l’intégrité n’est démontré dans les éléments fournis.

Versions affectéesConnectBot SSH Client Library avant 0.3.1

Version corrigée0.3.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.9

Publication2026-10-13T16:17:21.560Z

Mise à jour2026-10-13T16:17:21.560Z

Détection / vérification

Inventorier les dépendances utilisant `org.connectbot.sshlib:sshlib`; vérifier en particulier les clients qui se connectent à des serveurs SSH non fiables et ceux qui activent le transfert d’agent.

Action recommandée

Mettre à jour la bibliothèque vers la version 0.3.1 ou ultérieure.

Sources

NVD — CVE-2026-54700

Priorisation DFS : P4 · 1 source(s).