In der Implementierung der Roaming-Funktion von OpenSSH steckt ein Fehler, der es Angreifern unter Umständen ermöglicht, geheim Schlüssel weiterzuleiten.
In den OpenSSH-Clients sorgt die Roaming-Funktion für eine Wiederherstellung von unerwartet beendeten Sitzungen. Sicherheitsexperten haben in der clientseitigen Funktion einen Fehler entdeckt, der sich über manipulierte Server ausnutzen lässt. Im schlimmsten Fall, so das Ergebnis der Untersuchungen, sei es möglich, geheime Schlüssel des Clients weiterzuleiten. Betroffen seien alle OpenSSH-Versionen beginnend mit Ausgabe 5.4 bis 7.1. Um den Bug auszunutzen muss allerdings eine Verbindung zum manipulierten Server bestehen. Patches sind als OpenSSH-Version 7.1p2 vorhanden und für OpenSSH 5.7 und 5.8. Nutzer sollten ein Upgrade durchführen. Die Roaming-Funktion lässt sich vorbeugend auch abschalten.
