CVE-2026-111061 Denegación de servicio en el servidor de agente de russh por registros de restricción ilimitados

Qué es CVE-2026-111061

russh anterior a 0.64.1 genera una tarea de larga duración por cada registro SSH_AGENT_CONSTRAIN_LIFETIME en una solicitud de add-key restringida, sin revertirlas si falla el parseo posterior. Un atacante que hable el protocolo de agente localmente o por reenvío de agente puede agotar memoria y tareas hasta inutilizar o terminar el proceso del agente, denegando el servicio. Corregido en 0.64.1.

Productos y versiones afectadas

• Eugeny russh

  • < 0.64.1

Qué hacer

1. Verificá si usás russh y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

VECTOR DE ATAQUE (AV)

Red adyacente

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

russh is a Rust SSH client and server library that includes an SSH agent protocol implementation. Prior to 0.64.1, the agent server spawns a separate long-lived task for every SSH_AGENT_CONSTRAIN_LIFETIME record in a constrained add-key request. The loop accepts repeated lifetime records, clones the key blob into each task, and does not roll back tasks when later constraint parsing fails. An attacker that can speak the agent protocol locally or through agent forwarding can exhaust memory and tasks until the agent process is starved or terminated, denying SSH agent service. This issue is fixed in version 0.64.1.

Referencias

• github.com/Eugeny/russh/security/advisories/GHSA-4wc5-f2rc-q74mX_REFSOURCE_CONFIRM
• github.com/Eugeny/russh/commit/4c305033d72f8e5dd21a3fd4c53a6c291a16ebd1X_REFSOURCE_MISC
• github.com/Eugeny/russh/releases/tag/v0.64.1X_REFSOURCE_MISC

Historial de la alerta

1. 19 OCT · 14:15VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.