CVE-2026-3497
CVE-2026-3497
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.
Vulnerability in the OpenSSH GSSAPI delta included in various Linux distributions. This vulnerability affects the GSSAPI patches added by various Linux distributions and does not affect the OpenSSH upstream project itself. The usage of sshpkt_disconnect() on an error, which does not terminate the process, allows an attacker to send an unexpected GSSAPI message type during the GSSAPI key exchange to the server, which will call the underlying function and continue the execution of the program without setting the related connection variables. As the variables are not initialized to NULL the code later accesses those uninitialized variables, accessing random memory, which could lead to undefined behavior. The recommended workaround is to use ssh_packet_disconnect() instead, which does terminate the process. The impact of the vulnerability depends heavily on the compiler flag hardening configuration.
CVSS 2.7 · Faible · EPSS 2,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · network
Produits et versions concernés
openssh
- Versions du logiciel
- ≥ 1:10.0p1-5ubuntu5, < 1:10.0p1-5ubuntu5.1: Concernée (dpkg)
- ≥ 1:9.6p1-3ubuntu13, < 1:9.6p1-3ubuntu13.15: Concernée (dpkg)
- ≥ 1:8.9p1-3, < 1:8.9p1-3ubuntu0.14: Concernée (dpkg)
Mettez à jour vers 1:10.0p1-5ubuntu5.1; Mettez à jour vers 1:9.6p1-3ubuntu13.15
openssh Debian:12
- Versions du logiciel
- 1:9.2p1-2
- 1:9.2p1-2+deb12u1
- 1:9.2p1-2+deb12u2
- 1:9.2p1-2+deb12u3
- 1:9.2p1-2+deb12u4
- 1:9.2p1-2+deb12u5
- 1:9.2p1-2+deb12u6
- 1:9.2p1-2+deb12u7
- 1:9.2p1-2+deb12u8
- Plages de versions concernées
- ECOSYSTEM: < 1:9.2p1-2+deb12u9
Mettez à jour vers 1:9.2p1-2+deb12u9
openssh Debian:13
- Versions du logiciel
- 1:10.0p1-7
- 1:10.0p1-7+deb13u1
- Plages de versions concernées
- ECOSYSTEM: < 1:10.0p1-7+deb13u2
Mettez à jour vers 1:10.0p1-7+deb13u2
openssh Debian:14
- Versions du logiciel
- 1:10.0p1-7
- 1:10.0p1-8
- 1:10.1p1-1
- 1:10.1p1-2
- 1:10.2p1-1
- 1:10.2p1-2
- 1:10.2p1-2~bpo13+1
- 1:10.2p1-3
- 1:10.2p1-4
- 1:10.2p1-5
- 1:10.2p1-6~bpo13+1
- Plages de versions concernées
- ECOSYSTEM: < 1:10.2p1-6
Mettez à jour vers 1:10.2p1-6
openssh Ubuntu:Pro:FIPS-updates:16.04:LTS
- Versions du logiciel
- 1:7.2p2-4ubuntu2.fips.2.2.3
- 1:7.2p2-4ubuntu2.fips.2.4.1
- 1:7.2p2-4ubuntu2.fips.2.4.2
- 1:7.2p2-4ubuntu2.fips.2.8.1
- 1:7.2p2-4ubuntu2.fips.2.10.1
- 1:7.2p2-4ubuntu2.fips.2.10.2
- 1:7.2p2-4ubuntu2.fips.2.10.3
- 1:7.2p2-4ubuntu2.fips.2.10.4
- 1:7.2p2-4ubuntu2.fips.2.10.5
- 1:7.2p2-4ubuntu2.fips.2.10.6
- 1:7.2p2-4ubuntu2.fips.2.10.7
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:FIPS:16.04:LTS
- Versions du logiciel
- 1:7.2p2-4ubuntu2.fips.2.2
- 1:7.2p2-4ubuntu2.fips.2.2.1
- 1:7.2p2-4ubuntu2.fips.2.10.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh-ssh1 Ubuntu:18.04:LTS
- Versions du logiciel
- 1:7.5p1-8
- 1:7.5p1-9
- 1:7.5p1-9build1
- 1:7.5p1-10
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:FIPS-updates:18.04:LTS
- Versions du logiciel
- 1:7.9p1-10~ubuntu18.04.fips.0.1
- 1:7.9p1-10~ubuntu18.04.fips.0.2
- 1:7.9p1-10~ubuntu18.04.fips.0.3
- 1:7.9p1-10~ubuntu18.04.fips.0.4
- 1:7.9p1-10~ubuntu18.04.fips.0.5
- 1:7.9p1-10~ubuntu18.04.fips.0.6
- 1:7.9p1-10~ubuntu18.04.fips.0.7
- 1:7.9p1-10~ubuntu18.04.fips.0.8
- 1:7.9p1-10~ubuntu18.04.fips.0.9
- 1:7.9p1-10~ubuntu18.04.fips.0.10
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:FIPS:18.04:LTS
- Versions du logiciel
- 1:7.9p1-10~ubuntu18.04.fips.0.1
- 1:7.9p1-10~ubuntu18.04.fips.0.2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:20.04:LTS
- Versions du logiciel
- 1:8.0p1-6build1
- 1:8.1p1-1
- 1:8.1p1-5
- 1:8.2p1-4
- 1:8.2p1-4ubuntu0.1
- 1:8.2p1-4ubuntu0.2
- 1:8.2p1-4ubuntu0.3
- 1:8.2p1-4ubuntu0.4
- 1:8.2p1-4ubuntu0.5
- 1:8.2p1-4ubuntu0.7
- 1:8.2p1-4ubuntu0.8
- 1:8.2p1-4ubuntu0.9
- 1:8.2p1-4ubuntu0.10
- 1:8.2p1-4ubuntu0.11
- 1:8.2p1-4ubuntu0.12
- 1:8.2p1-4ubuntu0.13
- Plages de versions concernées
- ECOSYSTEM: < 1:8.2p1-4ubuntu0.13+esm1
Mettez à jour vers 1:8.2p1-4ubuntu0.13+esm1
openssh-ssh1 Ubuntu:20.04:LTS
- Versions du logiciel
- 1:7.5p1-11build1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:FIPS-updates:20.04:LTS
- Versions du logiciel
- 1:8.2p1-4ubuntu0.fips.0.2.1
- 1:8.2p1-4ubuntu0.fips.0.4.0
- 1:8.2p1-4ubuntu0.fips.0.5.0
- 1:8.2p1-4ubuntu0.fips.0.7
- 1:8.2p1-4ubuntu0.fips.0.8
- 1:8.2p1-4ubuntu0.fips.0.9
- 1:8.2p1-4ubuntu0.fips.0.10
- 1:8.2p1-4ubuntu0.fips.0.11
- 1:8.2p1-4ubuntu0.fips.0.12
- 1:8.2p1-4ubuntu0.fips.0.13
- Plages de versions concernées
- ECOSYSTEM: < 1:8.2p1-4ubuntu0.fips.0.13.1
Mettez à jour vers 1:8.2p1-4ubuntu0.fips.0.13.1
openssh Ubuntu:Pro:FIPS:20.04:LTS
- Versions du logiciel
- 1:8.2p1-4ubuntu0.fips.0.2.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:22.04:LTS
- Versions du logiciel
- 1:8.4p1-6ubuntu2
- 1:8.7p1-2
- 1:8.7p1-2build1
- 1:8.7p1-4
- 1:8.8p1-1
- 1:8.9p1-3
- 1:8.9p1-3ubuntu0.1
- 1:8.9p1-3ubuntu0.3
- 1:8.9p1-3ubuntu0.4
- 1:8.9p1-3ubuntu0.5
- 1:8.9p1-3ubuntu0.6
- 1:8.9p1-3ubuntu0.7
- 1:8.9p1-3ubuntu0.10
- 1:8.9p1-3ubuntu0.11
- 1:8.9p1-3ubuntu0.13
- Plages de versions concernées
- ECOSYSTEM: < 1:8.9p1-3ubuntu0.14
Mettez à jour vers 1:8.9p1-3ubuntu0.14
openssh-ssh1 Ubuntu:22.04:LTS
- Versions du logiciel
- 1:7.5p1-12
- 1:7.5p1-12build1
- 1:7.5p1-13
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:FIPS-preview:22.04:LTS
- Versions du logiciel
- 1:8.9p1-3ubuntu0.4+Fips1
- 1:8.9p1-3ubuntu0.4+Fips3
- 1:8.9p1-3ubuntu1.fips.0~ppa3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:FIPS-updates:22.04:LTS
- Versions du logiciel
- 1:8.9p1-3ubuntu0.4+Fips1
- 1:8.9p1-3ubuntu0.4+Fips3
- 1:8.9p1-3ubuntu0.6+Fips1
- 1:8.9p1-3ubuntu0.7+Fips1
- 1:8.9p1-3ubuntu0.10+Fips1
- 1:8.9p1-3ubuntu0.11+Fips1
- 1:8.9p1-3ubuntu0.13+Fips1
- Plages de versions concernées
- ECOSYSTEM: < 1:8.9p1-3ubuntu0.14+Fips1
Mettez à jour vers 1:8.9p1-3ubuntu0.14+Fips1
openssh Ubuntu:24.04:LTS
- Versions du logiciel
- 1:9.3p1-1ubuntu3
- 1:9.4p1-1ubuntu1
- 1:9.6p1-3ubuntu1
- 1:9.6p1-3ubuntu2
- 1:9.6p1-3ubuntu11
- 1:9.6p1-3ubuntu12
- 1:9.6p1-3ubuntu13
- 1:9.6p1-3ubuntu13.3
- 1:9.6p1-3ubuntu13.4
- 1:9.6p1-3ubuntu13.5
- 1:9.6p1-3ubuntu13.7
- 1:9.6p1-3ubuntu13.8
- 1:9.6p1-3ubuntu13.9
- 1:9.6p1-3ubuntu13.11
- 1:9.6p1-3ubuntu13.12
- 1:9.6p1-3ubuntu13.13
- 1:9.6p1-3ubuntu13.14
- Plages de versions concernées
- ECOSYSTEM: < 1:9.6p1-3ubuntu13.15
Mettez à jour vers 1:9.6p1-3ubuntu13.15
openssh-ssh1 Ubuntu:24.04:LTS
- Versions du logiciel
- 1:7.5p1-14
- 1:7.5p1-15
- 1:7.5p1-15build1
- 1:7.5p1-16
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh Ubuntu:Pro:FIPS-updates:24.04:LTS
- Versions du logiciel
- 1:9.6p1-3ubuntu13.7+Fips1
- 1:9.6p1-3ubuntu13.12+Fips1
- 1:9.6p1-3ubuntu13.13+Fips1
- 1:9.6p1-3ubuntu13.14+Fips1
- Plages de versions concernées
- ECOSYSTEM: < 1:9.6p1-3ubuntu13.15+Fips1
Mettez à jour vers 1:9.6p1-3ubuntu13.15+Fips1
openssh Ubuntu:25.10
- Versions du logiciel
- 1:9.9p1-3ubuntu3
- 1:9.9p1-3ubuntu3.1
- 1:10.0p1-5ubuntu2
- 1:10.0p1-5ubuntu3
- 1:10.0p1-5ubuntu4
- 1:10.0p1-5ubuntu5
- Plages de versions concernées
- ECOSYSTEM: < 1:10.0p1-5ubuntu5.1
Mettez à jour vers 1:10.0p1-5ubuntu5.1
openssh-ssh1 Ubuntu:25.10
- Versions du logiciel
- 1:7.5p1-17
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh-ssh1 Ubuntu:26.10
- Versions du logiciel
- 1:7.5p1-18
- 1:7.5p1-18ubuntu1
- 1:7.5p1-18ubuntu2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
openssh-ssh1 Ubuntu:26.04:LTS
- Versions du logiciel
- 1:7.5p1-17
- 1:7.5p1-18
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://ubuntu.com/security/CVE-2026-3497
- https://www.openwall.com/lists/oss-security/2026/03/12/3
- http://www.openwall.com/lists/oss-security/2026/03/12/3
- http://www.openwall.com/lists/oss-security/2026/03/14/3
- http://www.openwall.com/lists/oss-security/2026/03/14/4
- http://www.openwall.com/lists/oss-security/2026/03/18/2
- http://www.openwall.com/lists/oss-security/2026/03/18/4
- http://www.openwall.com/lists/oss-security/2026/03/18/5
- http://www.openwall.com/lists/oss-security/2026/03/18/7
- https://lists.debian.org/debian-lts-announce/2026/04/msg00014.html
- https://access.redhat.com/security/cve/CVE-2026-3497
- https://bugzilla.redhat.com/show_bug.cgi?id=2447085
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-3497.json
- https://access.redhat.com/errata/RHSA-2026:21695
- https://access.redhat.com/errata/RHSA-2026:13812
- https://access.redhat.com/errata/RHSA-2026:21690
- https://access.redhat.com/errata/RHSA-2026:15087
- https://access.redhat.com/errata/RHSA-2026:14773
- https://access.redhat.com/errata/RHSA-2026:20087
- https://access.redhat.com/errata/RHSA-2026:17596
- https://access.redhat.com/errata/RHSA-2026:12071
- https://access.redhat.com/errata/RHSA-2026:20040
- https://access.redhat.com/errata/RHSA-2026:7107
- https://nvd.nist.gov/vuln/detail/CVE-2026-3497