Heimdall Security Logo

CVE-2026-48859

Vulnérabilité moyenne dans OTP (Erlang)

CVSS 6.3 · Moyenne
EPSS 0.6%
Erlang•OTP•Versions : <6.0.1, 29.0, <29.0.2, 6.0, 032d1bc9491a3975c68faf9bc7776115d6ae3005, <c342092ef4b369bb409d5b71ac8fd83bab74aedf

Description

Observable Timing Discrepancy vulnerability in Erlang/OTP ssh (ssh_auth, ssh_options modules) allows unauthenticated remote username enumeration via timing side-channel in password authentication. When the SSH daemon is configured with the user_passwords or password option, ssh_auth:check_password/3 performs a PBKDF2-SHA256 computation with 600,000 iterations (~300ms) for valid usernames, but returns immediately (~0ms) for invalid usernames via the ssh_options:get_password_option/2 path. This timing difference is detectable in a single authentication attempt and allows an unauthenticated attacker to distinguish valid from invalid usernames. The user_passwords and password options are documented as intended for test purposes; the recommended alternative is pwdfun, which is not affected by this vulnerability. This vulnerability is associated with program files lib/ssh/src/ssh_auth.erl and lib/ssh/src/ssh_options.erl. This issue affects OTP from OTP 29.0 before OTP 29.0.2, corresponding to ssh from 6.0 before 6.0.1.

Gravité et risque d'exploitation

CVE-2026-48859 obtient un score CVSS de 6.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.62 %, ce qui la place devant 48.8 % des CVE référencées.

Que faire ?

  • Vérifiez si OTP (versions <6.0.1, 29.0, <29.0.2, 6.0, 032d1bc9491a3975c68faf9bc7776115d6ae3005, <c342092ef4b369bb409d5b71ac8fd83bab74aedf) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE