La vulnerabilidad permite que servidores maliciosos lean la memoria de computadoras conectadas a ellos y reside sólo en la versión que los usuarios utilizan para conectarse a los servidores.

La vulnerabilidad fue descubierta en OpenSSH, una de las implementaciones más utilizadas del protocolo Secure Shell (SSH). La vulnerabilidad reside en la versión que los usuarios finales utilizan para conectarse a los servisdores y no en la que estos últimos utilizan. Un servidor configurado maliciosamente podría explotarla para obtener información de la memoria del ordenador, incluyendo el cifrado de la clave privada para conexiones SSH. El error en el código permite una función de roaming experimental en las versiones de OpenSSH 5.4 a 7.1

"El código que utilizan los servidores nunca se envía, pero el código del cliente está activado de forma predeterminada y puede ser usado por un servidor malicioso para generar fugas del cliente al servidor, incluyendo claves privadas",  escribieron funcionarios de OpenSSH. "La autenticación del servidor host de la clave impide la explotación por medio de un ataque de hombre en medio (MitM), por lo que esta fuga sólo se limita a conexiones con servidores maliciosos o comprometidos."

El aviso de seguridad recomienda que cualquier persona que utilice una versión vulnerable actualice inmediatamente. Aquellos que no puedan hacerlo, deben desactivar la el roaming añadiendo la cadena "UseRoaming no" al archivo "global ssh_config (5)" o en configuración de usuario en "~/.ssh/config", o bien, introduciendo "UseRoaming=no" en la línea de comandos.

De acuerdo con un aviso independiente de Qualys, empresa de seguridad que descubrió e informó de la vulnerabilidad, la fuga de información puede ser explotada sólo después de que el usuario se ha autenticado correctamente en el servidor. Aunque esto reduce drásticamente las posibilidades de que el error sea explotado, los investigadores remarcaron la teoría de que los atacantes ya lo hayan usado, posiblemente para asegurar el acceso en un servidor comprometido específico, en caso de que el punto de entrada inicial fuera cerrado. 

"Esta fuga de información podría estar siendo explotada por atacantes sofisticados y sitios de alto perfil, o por usuarios que necesiten regenerar sus claves SSH", escribieron.

Al dar la capacidad a los atacantes de leer la memoria RAM de computadoras vulnerables, el error tiene similitudes con heartbleed de 2014; que afectaba bibliotecas cifradas de OpenSSL. Sin embargo, el error de OpenSSH sólo se puede aprovechar cuando el usuario final se conecta a un servidor configurado maliciosamente.