Cyber ·
CVE-2026-94423: Net::LibSSH aceita servidor sem verificar a chave do host
Aviso do CPAN Security Group sobre a distribuição Net-LibSSH: versões anteriores à 0.004 não verificam a chave do host contra known_hosts ao conectar. O texto foi publicado no feed oss-sec em 21 de outubro de 2026.
O aviso identificador CVE-2026-94423 foi publicado pelo CPAN Security Group e trata da distribuição Net-LibSSH, escrita para Perl. Segundo a parte disponível do texto, versões anteriores à 0.004 não verificam a chave pública do servidor (host) contra o arquivo known_hosts ao estabelecer a conexão. Na prática, um cliente que use essas versões pode aceitar a identidade de um servidor sem essa checagem, o que abre espaço para que um endereço falso se passe pelo destino real. O aviso foi divulgado no feed oss-sec em 21 de outubro de 2026; o conteúdo recebido é uma tradução automática e o texto completo contém campos adicionais, como metadados da distribuição e do repositório, que não foram reproduzidos aqui. Para consultar o original, procure o identificador CVE-2026-94423 na lista oss-sec de outubro de 2026 e nas páginas oficiais do CPAN indicadas no próprio aviso. Para verificar, confirme no ambiente qual versão de Net-LibSSH está instalada e compare com a faixa afetada descrita pelo aviso.
Fonte original: CVE-2026-94423: Net::LibSSH pode autenticar em servidor não verificado