一、 漏洞 CVE-2025-61984 基础信息
漏洞信息
# N/A
## 概述
OpenSSH 在版本 10.1 之前存在安全漏洞，允许在用户名中使用控制字符，这些用户名可能来自于某些不可信来源，进而可能导致代码执行。
## 影响版本
- OpenSSH 版本早于 10.1
## 细节
- 漏洞允许在用户名中包含控制字符。
- 不可信来源包括：
- 命令行参数
- SSH 配置文件中的 %-序列展开
- 注意：如果配置文件提供了完整且确定的用户名（不涉及变量替换等），则不被视为不可信来源。
## 影响
- 如果攻击者能控制用户名内容，并结合 `ProxyCommand` 的使用，可能触发任意代码执行。
- 该漏洞可能在特定网络环境（如使用代理命令）中被利用，提升攻击风险。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
ssh in OpenSSH before 10.1 allows control characters in usernames that originate from certain possibly untrusted sources, potentially leading to code execution when a ProxyCommand is used. The untrusted sources are the command line and %-sequence expansion of a configuration file. (A configuration file that provides a complete literal username is not categorized as an untrusted source.)
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
特殊元素净化处理不恰当
来源：美国国家漏洞数据库 NVD
漏洞标题
OpenSSH 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
OpenSSH（OpenBSD Secure Shell）是加拿大OpenBSD开源的一套用于安全访问远程计算机的连接工具。该工具是SSH协议的开源实现，支持对所有的传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击。 OpenSSH 10.1之前版本存在安全漏洞，该漏洞源于允许来自命令行和配置文件扩展的用户名包含控制字符，可能导致代码执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-61984 的公开POC
三、漏洞 CVE-2025-61984 的情报信息
-
标题： oss-security - Announce: OpenSSH 10.1 released -- 🔗来源链接
标签：
-
- https://www.openssh.com/releasenotes.html#10.1p1
- https://nvd.nist.gov/vuln/detail/CVE-2025-61984
四、漏洞 CVE-2025-61984 的评论
暂无评论