CVE-2022-31124
Vulnérabilité élevée dans openssh_key_parser (scottcwang)
Description
openssh_key_parser is an open source Python package providing utilities to parse and pack OpenSSH private and public key files. In versions prior to 0.0.6 if a field of a key is shorter than it is declared to be, the parser raises an error with a message containing the raw field value. An attacker able to modify the declared length of a key's sensitive field can thus expose the raw value of that field. Users are advised to upgrade to version 0.0.6, which no longer includes the raw field value in the error message. There are no known workarounds for this issue.
Gravité et risque d'exploitation
CVE-2022-31124 obtient un score CVSS de 7.7/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 1.33 %, ce qui la place devant 70.7 % des CVE référencées.
Que faire ?
- Vérifiez si openssh_key_parser (versions < 0.0.6) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/scottcwang/openssh_key_parser/security/advisories/GHSA-hm37-9xh2-q499
- https://github.com/scottcwang/openssh_key_parser/pull/5
- https://github.com/scottcwang/openssh_key_parser/commit/26e0a471e9fdb23e635bc3014cf4cbd2323a08d3
- https://github.com/scottcwang/openssh_key_parser/commit/274447f91b4037b7050ae634879b657554523b39
- https://github.com/scottcwang/openssh_key_parser/commit/d5b53b4b7e76c5b666fc657019dbf864fb04076c