golang.org/x/crypto/ssh Man-in-the-Middle attack

高 8.1CVE-2017-3204 · GHSA-xhjq-w7xm-p8qj · GO-2020-0013 · 04/04/2017 公開 · 17/06/2026 更新

要点

CVE-2017-3204 は golang.org/x/crypto, crypto (golang) に影響する深刻度「高」 (CVSS 8.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：3.2%（全脆弱性の 88.0% より高い）。
対処：0.0.0-20170330155735-e4e2799dd7aa 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
golang.org/x/crypto Go	`< 0.0.0-20170330155735-e4e2799dd7aa`	`0.0.0-20170330155735-e4e2799dd7aa`
crypto golang	`≤ 2017-03-17`	修正版なし

概要

The Go SSH library (golang.org/x/crypto/ssh) by default does not verify host keys, facilitating man-in-the-middle attacks if ClientConfig.HostKeyCallback is not set. Default behavior changed in commit e4e2799 to require explicitly registering a hostkey verification mechanism.

NVD の説明

The Go SSH library (x/crypto/ssh) by default does not verify host keys, facilitating man-in-the-middle attacks. Default behavior changed in commit e4e2799 to require explicitly registering a hostkey verification mechanism.