Kerngegevens
- Leverancier
- OpenSSH
- Product
- OpenSSH
- Soort software
- basissoftware
- Getroffen versies
- OpenSSH voor 10.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- OpenSSH 10.6
- CVE gepubliceerd
- 7 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de ssh-client van OpenSSH kan in een gebruikersnaam op de opdrachtregel een $- of -teken voorkomen. Dat kan leiden tot injectie. Het lek zit in versies van OpenSSH voor 10.6.
Wie loopt risico?
Je loopt risico als je een OpenSSH-versie van voor 10.6 gebruikt. De aanval verloopt lokaal en vraagt om een handeling van een gebruiker. Het risico is dus vooral relevant op systemen waar ssh wordt aangeroepen met een gebruikersnaam die je niet zelf hebt gekozen of gecontroleerd. In de gegevens staat niet dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk met ssh -V welke versie van OpenSSH je gebruikt. Is die ouder dan 10.6, dan is je systeem getroffen.
Werk OpenSSH bij
Installeer OpenSSH 10.6 of nieuwer. Gebruik hiervoor de updatekanalen van je besturingssysteem of leverancier.
Let op gebruikersnamen in scripts
Controleer tot je kunt updaten of scripts of programma's ssh aanroepen met een gebruikersnaam uit een onbetrouwbare bron. Voer zo'n naam niet ongecontroleerd in.
Lees de release-opmerkingen
In de release notes van OpenSSH 10.6 staat meer over de oplossing.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In de ssh-client van OpenSSH voor versie 10.6 kan een gebruikersnaam op de opdrachtregel een $- of -teken bevatten. Zulke tekens worden niet goed afgehandeld, waardoor injectie mogelijk is. Het lek is ingedeeld als CWE-99, onjuiste controle over resource-identificatoren. De aanvalsroute is lokaal en vereist gebruikersinteractie (CVSS-vector AV:L/AC:L/PR:N/UI:R). Bij misbruik kunnen vertrouwelijkheid, integriteit en beschikbaarheid volledig worden geraakt. De fout is opgelost in OpenSSH 10.6.
CVSS-vector (versie 3.1, basisscore 7,8, bron: NVD)
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-99 · Onjuiste controle over resource-identificatoren (resource-injectie)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee