issue处理注意事项:
1. 当前issue受影响的分支提交pr时, 须在pr描述中填写当前issue编号进行关联, 否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容,未引入的分支不需要填写, 否则无法关闭当前issue;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复, 注: 内容的标题名称(影响性分析说明, openFuyao评分, 受影响版本排查(受影响/不受影响))不能省略,省略后cve-manager将无法正常解析填写内容.
影响性分析说明:
漏洞评分(openFuyao评分):
BaseScore: x.x(浮点格式)
Vector:
受影响版本排查(受影响/不受影响):
1.master:
欢迎来到 openFuyao 社区
Hey @openFuyao-bot , 感谢你对社区的贡献.
机器人使用手册
有关指令的使用，可以点击 此处 查看详情。开发人员可以在每个PR或Issue下方评论特定指令来触发机器人任务。您可以自助配置此仓库的 PR 合并规则，更多详情，请参阅此处。
联系指引
有疑问可以联系 SIG: sig-ai-inference ,
维护者是： @foxbit, @regandy ,
审核者是： @ShiroChen, @piamposer-li, @qinwenzh .
问题原因分析
本 CVE 根因是 component/infernex-checker/go.mod 中声明的 golang.org/x/crypto v0.55.0（master 分支）。
漏洞位于 x/crypto SSH 实现的 mux 通道处理逻辑：channel 注册进 mux 的 chanList 后、尚未 established 的窗口期内无法正常处理收到的报文，恶意对端可在该窗口期向 channel 的 incomingRequests 泛洪，导致整条 SSH 连接死锁（DoS）。
影响面分析
- 引用点：
component/infernex-checker/pkg/executor/executor.go。checker 作为 SSH 客户端主动连接节点执行远程命令（节点健康检查），走的是ssh.NewClientConn/ssh.NewClient，正是受影响的 mux/通道处理路径。 - 威胁模型：本组件是客户端，"恶意对端"为被检测节点的 SSH 服务端。仅当集群中某节点已被入侵/恶意（或内网存在中间人）时才可触发，属于条件可达。
- 影响：仅可用性（CVSS 3.1 5.3 Medium，AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L），表现为 checker 到该节点的 SSH 连接挂死，无机密性/完整性影响。
- 仓库内仅
component/infernex-checker依赖 golang.org/x/crypto，其他组件不受影响。
解决方案
将 component/infernex-checker/go.mod 中 golang.org/x/crypto 从 v0.55.0 升级至 v0.56.0（修复版本）。
注意：x/crypto v0.56.0 要求最低 Go 版本 go 1.26.0（v0.55.0 为 go 1.25.0），因此需同步：
- 该组件 go.mod 的 go 指令从 1.25.0 升至 1.26.0；
- CI / 构建镜像的 Go 工具链同步升级至 ≥ 1.26。
升级后 go build ./... 已本地验证通过，修复 PR 将关联本 issue。
经分析，当前SSH服务端为内部自建环境，攻击者控制服务端并构造恶意SSH消息的实际场景较少，当前环境下漏洞可利用性较低。暂缓本次crypto升级，待后续K8s版本升级并同步Go版本时，再统一升级golang.org/x/crypto至修复版本。
问题原因分析
本 CVE 根因是
component/infernex-checker/go.mod中声明的golang.org/x/crypto v0.55.0（master 分支）。漏洞位于 x/crypto SSH 实现的 mux 通道处理逻辑：channel 注册进 mux 的 chanList 后、尚未 established 的窗口期内无法正常处理收到的报文，恶意对端可在该窗口期向 channel 的 incomingRequests 泛洪，导致整条 SSH 连接死锁（DoS）。
影响面分析
- 引用点：
component/infernex-checker/pkg/executor/executor.go。checker 作为 SSH 客户端主动连接节点执行远程命令（节点健康检查），走的是ssh.NewClientConn/ssh.NewClient，正是受影响的 mux/通道处理路径。- 威胁模型：本组件是客户端，"恶意对端"为被检测节点的 SSH 服务端。仅当集群中某节点已被入侵/恶意（或内网存在中间人）时才可触发，属于条件可达。
- 影响：仅可用性（CVSS 3.1 5.3 Medium，AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L），表现为 checker 到该节点的 SSH 连接挂死，无机密性/完整性影响。
- 仓库内仅
component/infernex-checker依赖 golang.org/x/crypto，其他组件不受影响。解决方案
将
component/infernex-checker/go.mod中golang.org/x/crypto从 v0.55.0 升级至 v0.56.0（修复版本）。注意：x/crypto v0.56.0 要求最低 Go 版本 go 1.26.0（v0.55.0 为 go 1.25.0），因此需同步：
- 该组件 go.mod 的 go 指令从 1.25.0 升至 1.26.0；
- CI / 构建镜像的 Go 工具链同步升级至 ≥ 1.26。
升级后
go build ./...已本地验证通过，修复 PR 将关联本 issue。
一、漏洞信息
漏洞编号：CVE-2026-78662
漏洞归属组件：crypto
漏洞归属分支：默认分支
漏洞归属版本：v0.55.0
漏洞修复版本：0.56.0
漏洞涉及目标：component/infernex-checker/go.mod
CVSS分值：
BaseScore： 5.3 Medium
Vector： CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
漏洞简述：
Previously, a channel registered in the mux's chanList is not usable until it is established. A malicious peer was able flood the channel's incomingRequests, deadlocking the entire connection. Now, we add an atomic established state, set when a channel becomes usable. Until such a time, handlePacket drops every packet other than the open confirmation/failure, without blocking and without tearing down the connection.
漏洞公开时间：2026-09-03 04:17:37
漏洞创建时间：2026-09-04 02:55:59
漏洞详情参考链接：
https://nvd.nist.gov/vuln/detail/CVE-2026-78662
漏洞补丁信息：
二、漏洞分析结构反馈
影响性分析说明：
漏洞评分(openFuyao评分):
BaseScore： 0.0
Vector：
受影响版本排查(受影响/不受影响)：
1.master: