Injection de commande OS dans SSH.NET (CVE-2026-85756)
Résumé
Injection de commande OS dans SSH.NET (CVE-2026-85756). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via ScpClient.RemotePathTransformation. Atténuation : mise à jour vers 2026.0.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Default SCP remote-path handling places caller-supplied paths into the command that runs scp on the server. On a shell-based server that command is interpreted by a shell, so an attacker-influenced path that is not quoted to suit that shell can execute as a command as the authenticated SSH user. SSH.NET provides ScpClient.RemotePathTransformation to control escaping behaviour (defaulting to RemotePathTransformation.DoubleQuote) but cannot guarantee safety for arbitrary remote command interpreters. This is inherent to running scp over a remote shell (cf. CVE-2020-15778).
Impact
Command execution on the SSH server as the authenticated SSH user, when an application passes an attacker-influenced remote path to ScpClient against a shell-based server.
Exploitation depends on conditions beyond the attacker's control: the remote server must be shell-based, and the attacker-influenced path must be crafted to defeat the quoting applied by the transformation in effect — that is, to use metacharacters that it does not neutralise (for example $(...) or backticks, which survive the default double-quoting on a POSIX shell). A path that does not meet these escaping rules, or a non-shell-based server, does not result in command execution.
Remediation
The fixed release obsoletes the constructors that silently defaulted the path transformation and adds constructors that require an explicit IRemotePathTransformation, so callers are required to choose one that suits t…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-85756 a été découverte dans SSH.NET.
Des attaquants peuvent cibler un point d'entrée spécifique comme ScpClient.RemotePathTransformation à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 7.5/10.
Action : mettez à jour SSH.NET vers 2026.0.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « SSH.NET CVE-2026-85756 » sur le site de l'éditeur.
CVE-2026-85756 (SSH.NET) — CWE-78 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : ScpClient.RemotePathTransformation / RemotePathTransformation.DoubleQuote / IRemotePathTransformation / RemotePathTransformation.ShellQuote
Correctif : 2026.0.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une injection de commande OS (CWE-78) affecte SSH.NET. Les attaquants atteignent le code vulnérable via ScpClient.RemotePathTransformation.
Consultez l'avis de l'éditeur pour les versions affectées de SSH.NET. Surface d'attaque : ScpClient.RemotePathTransformation / RemotePathTransformation.DoubleQuote / IRemotePathTransformation / RemotePathTransformation.ShellQuote.
Gravité : Élevée (CVSS 7.5/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 2026.0.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'SSH.NET' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
SSH.NETを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade SSH.NET to 2026.0.0ステージング環境で 2026.0.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com