远程主机上安装的 libssh2 版本低于 1.4.3-12。因此，该软件受到 ALAS2-2026-3813 公告中提及的多个漏洞影响。

    libssh2 through 从 1.11.1 publickey-subsystem 响应读取攻击者控制的 32 位属性计数，并在分配 num_attrs * sizeof（libssh2_publickey_attribute） 中使用而不进行边界检查，因此在 32 位平台上乘法溢出到缓冲区过小。然后，恶意 SSH 服务器可驱动属性解析循环写入超出分配范围，从而在连接的 libssh2 客户端中造成堆缓冲区溢出。（CVE-2026-58050）

    libssh2 通过 1.11.1 SSH2_REALLOC 扩增其公钥列表，但在解析填充新条目之前不会对其进行零初始化，因此到达清除路径的解析失败会使libssh2_publickey_list_free在未初始化的条目上操作。提供公钥子系统的恶意 SSH 服务器可使用畸形响应，在连接的 libssh2 客户端中对未初始化的、可受攻击者影响的 attrs 指针进行清除。（CVE-2026-58051）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2 ： libssh2， --advisory ALAS2-2026-3813 （ALAS-2026-3813）

high Nessus 插件 ID 328836

版本 1.1