libssh2 Improper Certificate Validation Bypass via known_hosts Entry Interference

Vulnerability Overview Vulnerability Name: Improper Certificate Validation Vulnerability Description: When using libssh2 with systems that have a file, irrelevant/initial entries can cause host key verification to report keys as "mismatched," thereby bypassing validation. Severity: Low CVSS Score: 2.2/2.0 Published Date: 2020-10-14T08:00:00Z Last Updated: 2020-10-14T08:00:00Z Affected Scope Affected Software: libssh2 Affected Versions: - 0.22.0, 0.21.0, 0.20.0, 0.19.0, 0.18.0, 0.17.0, 0.16.0, 0.15.0, 0.14.1, 0.14.0, 0.13.0, 0.12.1, 0.11.1, 0.11.0, 0.10.1, 0.10.0, 0.9.1, 0.9.0, 0.8.1, 0.8.0, 0.7.1, 0.7.0, 0.6.1, 0.6.0, 0.5.1, 0.5.0, 0.4.1, 0.4.0, 0.3.1, 0.3.0, 0.2.1, 0.2.0, 0.1.1, 0.1.0, 0.0.1, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0, 0.0.0,

Goal Reached Thanks to every supporter — we hit 100%!

libssh2 Improper Certificate Validation Bypass via known_hosts Entry Interference