Krytyczna

Paramiko not properly checking authentication before processing other requests

Ujawniono: 13.03.2018
Aktualizacja: 11.10.2026 12:19

transport.py in the SSH server implementation of Paramiko before 1.17.6, 1.18.x before 1.18.5, 2.0.x before 2.0.8, 2.1.x before 2.1.5, 2.2.x before 2.2.3, 2.3.x before 2.3.2, and 2.4.x before 2.4.1 does not properly check whether authentication is completed before processing other requests, as demonstrated by channel-open. A customized SSH client can simply skip the authentication step.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	paramiko	>= 2.0.0, < 2.0.8, >= 2.1.0, < 2.1.5, >= 2.2.0, < 2.2.3, >= 2.3.0, < 2.3.2, >= 2.4.0, < 2.4.1, >= 1.18.0, < 1.18.5, < 1.17.6	2.0.8, 2.1.5, 2.2.3, 2.3.2, 2.4.1, 1.18.5, 1.17.6

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-287
Platforma: Python (PyPI)
Paczka: paramiko
Ujawniono: 13.03.2018
Aktualizacja: 11.10.2026 12:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2018-19 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-232r-66cg-79px - CC BY 4.0

Historia podatności: paramiko

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 01.2008 05.2026
Bez poprawki: 1
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 3
Średnia 1
Niska 1

Ujawnienia w latach

2017: 0
2018: 2
2019: 0
2020: 0
2021: 0
2022: 1
2023: 1
2024: 0
2025: 0
2026: 1

wcześniej: 1

06.05.2026

Paramiko rsakey.py allows the SHA-1 algorithm

Niska · 3.4 CVE-2026-44405 <= 4.0.0 brak poprawki
18.12.2023

Prefix Truncation Attack against ChaCha20-Poly1305 and Encrypt-then-MAC aka Terrapin

Średnia · 5.9 CVE-2023-48795 >= 2.5.0, < 3.4.0 3.4.0
17.03.2022

Race Condition in Paramiko

Wysoka · 5.9 CVE-2022-24302 >= 2.10.0, < 2.10.1, >= 2.9.0, < 2.9.3 2.10.1, 2.9.3
08.10.2018

Paramiko Authentication Bypass vulnerability

Wysoka · 8.8 CVE-2018-1000805 >= 2.4.0, < 2.4.2, >= 2.3.0, < 2.3.3, >= 2.2.0, < 2.2.4, >= 2.1.0, < 2.1.6, >= 1.5.1, < 2.0.9 2.4.2, 2.3.3, 2.2.4, 2.1.6, 2.0.9
13.03.2018

Paramiko not properly checking authentication before processing other requests ten wpis

Krytyczna · 9.8 CVE-2018-7750 >= 2.0.0, < 2.0.8, >= 2.1.0, < 2.1.5, >= 2.2.0, < 2.2.3, >= 2.3.0, < 2.3.2, >= 2.4.0, < 2.4.1, >= 1.18.0, < 1.18.5, < 1.17.6 2.0.8, 2.1.5, 2.2.3, 2.3.2, 2.4.1, 1.18.5, 1.17.6
16.01.2008

common.py in Paramiko 1.7.1 and earlier, when using threads or forked processes, does not properly use RandomPool, which allows one session to obtain sensitive information from another session by pred

Wysoka · 6.5 CVE-2008-0299 < 1.7.2 1.7.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację