アップデートが提供されている。
「同0.6」以降にサーバ上において認証を回避されるおそれがある脆弱性「CVE-2018-10933」が含まれていることが判明したもの。
脆弱性を悪用されると、アカウント情報なしに認証が可能になるという。
開発チームでは、同脆弱性を修正した「同0.8.4」および「同0.7.6」をリリースした。
脆弱性を報告したNCCグループのセキュリティコンサルタントであるPeter Winter-Smith氏は、
同脆弱性について、クライアントとサーバでステートマシンを共有しており、クライアントの状態をアップデートするパケットによって、
サーバの状態についてもアップデートできることに起因すると指摘。
ステートマシンに関する問題で、ほかにも悪用できる可能性があるとして、認証の回避される問題について直接影響を受けない場合も含め、
すべての環境で「libssh」をアップデートすることを推奨している。
（Security NEXT - 2018/10/22 ）
