কয়েক দিন আগে, দামিয়েন মিলার (OpenSSH এর ডেভেলপারদের একজন), এটা জানা, মেইলিং তালিকার মাধ্যমে, OpenSSH 9.9p2 রক্ষণাবেক্ষণ রিলিজ Que দুটি গুরুত্বপূর্ণ দুর্বলতা সমাধান করে Qualys দ্বারা আবিষ্কৃত, যা ম্যান-ইন-দ্য-মিডল (MITM) আক্রমণ চালানোর জন্য ব্যবহার করা যেতে পারে।
উল্লেখ করা হয়েছে যে এই ত্রুটিগুলি আক্রমণকারীকে SSH সংযোগ আটকাতে অনুমতি দিয়েছে এবং ক্লায়েন্টকে লক্ষ্য সার্ভারের বৈধ কী-এর পরিবর্তে একটি ক্ষতিকারক সার্ভারের কী গ্রহণ করতে প্ররোচিত করে।
CVE-2025-26465: SSH কী যাচাইকরণ বাইপাস
এই সংশোধনমূলক সংস্করণ প্রকাশের সময় যে দুর্বলতাগুলি ঠিক করা হয়েছিল তার মধ্যে প্রথমটি হল CVE-2025-26465। এই দুর্বলতা ssh ইউটিলিটিতে একটি যৌক্তিক ত্রুটির কারণে, যা একজন আক্রমণকারীকে সার্ভার কী যাচাইকরণ বাইপাস করতে এবং সফলভাবে একটি MITM আক্রমণ চালানোর অনুমতি দেয়।
যখন একজন ক্লায়েন্ট সংযোগ করার চেষ্টা করে একটি SSH সার্ভারে, একজন আক্রমণকারী ট্র্যাফিককে একটি নকল সার্ভারে পুনঃনির্দেশিত করতে পারে এবং ক্লায়েন্টকে ভুল কীটি কোনও সতর্কতা ছাড়াই গ্রহণ করতে বাধ্য করে, বিশ্বাস করে যে এটি বৈধ সার্ভারের সাথে সংযুক্ত।
এর পাশাপাশি, এই দুর্বলতা:
- এটি OpenSSH-এ 6.8p1 সংস্করণ (ডিসেম্বর 2014) থেকে উপস্থিত রয়েছে।
- VerifyHostKeyDNS বিকল্পটি সক্রিয় থাকলে ট্রিগার হয়।
- বেস OpenSSH কনফিগারেশনে, এই বিকল্পটি ডিফল্টরূপে নিষ্ক্রিয় থাকে, কিন্তু FreeBSD-তে এটি ২০২৩ সালের মার্চ পর্যন্ত সক্রিয় ছিল।
কারণগুলির ক্ষেত্রে এই ব্যর্থতার কারণ হিসেবে উল্লেখ করা হয়েছে যে এর কারণ হল verify_host_key_callback() ফাংশনটি verify_host_key() কে কল করে, কিন্তু এটি শুধুমাত্র পরীক্ষা করে যে ফেরত আসা ত্রুটি কোডটি -1 কিনা, অন্যান্য ত্রুটি কোড যেমন -2 উপেক্ষা করে। কখন verify_host_key() অপর্যাপ্ত মেমোরি থাকলে -2 প্রদান করে, কিন্তু ত্রুটি কোড বাদ দেওয়ার কারণে, সিস্টেমটি ভুল করে ধরে নেয় যে হোস্ট কী যাচাই করা হয়েছে সঠিকভাবে
একজন আক্রমণকারী এই ত্রুটিটি কাজে লাগাতে পারে একটি নকল SSH সার্ভার তৈরি করে যা একটি বড় হোস্ট কী (256 KB) পাঠায়, যার ফলে ক্লায়েন্টের অত্যধিক মেমরি খরচ হয় এবং আনহ্যান্ডেলড ত্রুটির অবস্থা তৈরি হয়।
CVE-2025-26466: SSH-তে মেমরি লিক এবং অতিরিক্ত CPU খরচ
দ্বিতীয় দুর্বলতা যা সংশোধন করা হয়েছে তা হল CVE-2025-26466 এবং এই দুর্বলতা ssh ক্লায়েন্ট এবং sshd সার্ভার উভয়কেই প্রভাবিত করে, যেমন মেমরি নিষ্কাশন করতে দেয় প্রক্রিয়াটির উপর নজর রাখে এবং বারবার SSH2_MSG_PING প্যাকেট পাঠিয়ে উচ্চ CPU লোড তৈরি করে।
এই দুর্বলতার বিরাট প্রভাব এই যে এটি প্রমাণীকরণ ছাড়াই ব্যবহার করা যেতে পারে এবং 9.5p1 সংস্করণ থেকে OpenSSH কে প্রভাবিত করে। (আগস্ট ২০২৩)। এছাড়াও, এটি একজন আক্রমণকারীকে সিস্টেম রিসোর্স ব্যবহার করতে দেয়, যার ফলে কর্মক্ষমতা হ্রাস পায় এবং এমনকি পরিষেবা অস্বীকার (DoS)ও সৃষ্টি হয়।
এই ব্যর্থতার কারণ সম্পর্কে, উল্লেখ করা হয়েছে যে এটি এই কারণে যে প্রতিটি আগত ১৬-বাইট SSH2_MSG_PING প্যাকেটের ফলে একটি ২৫৬-বাইট বাফার বরাদ্দ করা হয় স্মৃতিতে। কী চুক্তি সম্পূর্ণ না হওয়া পর্যন্ত এই বাফারটি মুক্ত করা হয় না, যার ফলে একাধিক PING প্যাকেট পাঠানো হলে মেমরি লিক হয়।
প্রশমন ও সমাধান
সমাধান হিসেবে, সীমাবদ্ধতা নির্ধারণ করার পরামর্শ দেওয়া হচ্ছে sshd_config-এ নিম্নলিখিত নির্দেশাবলী ব্যবহার করে:
- লগইনগ্রেসটাইম: এটি প্রমাণীকরণের সময়সীমা সীমিত করে।
- সর্বোচ্চ স্টার্টআপস: অপ্রমাণিত সংযোগের সংখ্যা সীমিত করে।
- পারসোর্স পেনাল্টি: একাধিক সংযোগ প্রচেষ্টা তৈরি করে এমন ক্লায়েন্টদের উপর জরিমানা প্রযোজ্য।
এবং হিসাবে সমাধান, প্রথম এবং সবচেয়ে প্রস্তাবিত হল OpenSSH কে প্রকাশিত সংস্করণ, “9.9p2” তে আপগ্রেড করুন। যত তাড়াতাড়ি সম্ভব এই দুর্বলতাগুলি সংশোধন করার জন্য। কিন্তু যদি তাৎক্ষণিকভাবে আপগ্রেড করা সম্ভব না হয়, তাহলে উপরে উল্লিখিত প্রশমন ব্যবস্থা প্রয়োগ করা উচিত। উপরন্তু, নির্ভরযোগ্য DNSSEC যাচাইকরণ প্রক্রিয়া ব্যবহার না করা হলে VerifyHostKeyDNS নিষ্ক্রিয় করার পরামর্শ দেওয়া হচ্ছে।
যদি হয় এটি সম্পর্কে আরও জানতে আগ্রহী, আপনি বিশদটি পরীক্ষা করতে পারেন নিম্নলিখিত লিঙ্ক।
কিভাবে লিনাক্সে OpenSSH ইনস্টল করবেন?
যারা তাদের সিস্টেমে ওপেনএসএসএইচের এই নতুন সংস্করণটি ইনস্টল করতে সক্ষম হতে আগ্রহী তাদের জন্য, আপাতত তারা এটি করতে পারে এর উত্স কোড ডাউনলোড করা এবং তাদের কম্পিউটারে সংকলন সম্পাদন।
এটি কারণ যে নতুন সংস্করণটি এখনও মূল লিনাক্স বিতরণগুলির সংগ্রহস্থলগুলিতে অন্তর্ভুক্ত করা হয়নি। উত্স কোডটি পেতে, আপনি এটি থেকে করতে পারেন নিম্নলিখিত লিঙ্ক.
ডাউনলোড সম্পন্ন, এখন আমরা নিম্নলিখিত কমান্ডের সাহায্যে প্যাকেজটি আনজিপ করতে চলেছি:
tar -xvf openssh-9.9p2.tar.gz
আমরা তৈরি ডিরেক্টরি লিখুন:
সিডি openssh-9.9p2
Y আমরা সঙ্গে সংকলন করতে পারেন নিম্নলিখিত আদেশগুলি:
./configure --prefix = / opt --sysconfdir = / etc / ssh মেক মেক ইনস্টল