Pred pár dňami, Damian Miller (jeden z vývojárov OpenSSH), oznámil toprostredníctvom zoznamov adries, Vydanie údržby OpenSSH 9.9p2 že opravuje dve kritické zraniteľnosti objavený spoločnosťou Qualys, ktorý by sa dal využiť na vykonávanie útokov typu Man-in-the-Middle (MITM).
Spomína sa, že tieto chyby umožnilo útočníkovi zachytiť pripojenia SSH a oklamať klienta, aby akceptoval kľúč škodlivého servera namiesto legitímneho kľúča cieľového servera.
CVE-2025-26465: Obídenie overenia kľúča SSH
Prvá z chýb zabezpečenia, ktorá bola opravená vo vydaní tejto opravnej verzie, je CVE-2025-26465. Táto chyba zabezpečenia je spôsobená logickou chybou v utilite ssh, čo umožňuje útočníkovi obísť overenie kľúča servera a úspešne vykonať útok MITM.
Keď sa klient pokúsi pripojiť na SSH server, Útočník môže presmerovať prevádzku na falošný server a spôsobiť, že klient bez varovania akceptuje nesprávny kľúč v domnení, že je pripojený k legitímnemu serveru.
Okrem toho táto zraniteľnosť:
- V OpenSSH je prítomný od verzie 6.8p1 (december 2014).
- Spustí sa, keď je povolená možnosť VerifyHostKeyDNS.
- V základnej konfigurácii OpenSSH je táto možnosť predvolene vypnutá, ale vo FreeBSD bola povolená do marca 2023.
Čo sa týka príčin ktoré spôsobujú toto zlyhanie, je uvedené, že Je to preto, že funkciaover_host_key_callback() volá funkciou authentic_host_key(), ale skontroluje iba, či je vrátený chybový kód -1, pričom ignoruje ostatné chybové kódy ako -2. Kedy over_host_key() vráti -2, keď nie je dostatok pamäte, ale kvôli vynechaniu chybového kódu, Systém mylne predpokladá, že hostiteľský kľúč bol overený správne.
Útočník tak môže zneužiť túto chybu vytvorením falošného SSH servera, ktorý odošle veľký hostiteľský kľúč (256 KB), čo spôsobí nadmernú spotrebu pamäte na klientovi a spustí neošetrený chybový stav.
CVE-2025-26466: Únik pamäte a nadmerná spotreba procesora v SSH
Druhá chyba zabezpečenia, ktorá bola opravená, je CVE-2025-26466 a táto chyba zabezpečenia ovplyvňuje ssh klienta aj server sshd, ako umožňuje vyčerpať pamäť procesu a generovať vysoké zaťaženie CPU opakovaným odosielaním paketov SSH2_MSG_PING.
Veľký vplyv tejto zraniteľnosti spočíva v tom, že Dá sa zneužiť bez overenia a ovplyvňuje OpenSSH od verzie 9.5p1 (august 2023). Okrem toho umožňuje útočníkovi spotrebúvať systémové prostriedky, čím znižuje výkon a dokonca spôsobuje odmietnutie služby (DoS).
Pokiaľ ide o príčiny, ktoré spôsobujú túto poruchu, uvádza sa, že je to spôsobené tým, že Každý prichádzajúci 2-bajtový paket SSH16_MSG_PING spôsobí pridelenie 256-bajtovej vyrovnávacej pamäte v pamäti. Táto vyrovnávacia pamäť sa neuvoľní, kým sa nedokončí dohoda o kľúči, čo vedie k úniku pamäte pri odoslaní viacerých paketov PING.
Zmiernenie a riešenie
Ako riešenie, Odporúča sa nastaviť obmedzenia v sshd_config pomocou nasledujúcich smerníc:
- LoginGraceTime: Tým sa obmedzí časový limit na overenie.
- MaxStartups: obmedzuje počet neoverených pripojení.
- PerSourcePenalties: aplikuje sankcie na klientov, ktorí generujú viacero pokusov o pripojenie.
A čo sa týka riešenia, Prvý a najviac odporúčaný je aktualizovať OpenSSH na vydanú verziu „9.9p2“ čo najskôr opraviť tieto slabé miesta. Ak však nie je možné vykonať okamžitú aktualizáciu, mali by sa použiť vyššie uvedené zmierňujúce opatrenia. Okrem toho sa odporúča vypnúť VerifyHostKeyDNS, pokiaľ sa nepoužívajú spoľahlivé mechanizmy overovania DNSSEC.
Ak ste záujem dozvedieť sa o tom viac, môžete skontrolovať podrobnosti v nasledujúci odkaz.
Ako nainštalovať OpenSSH na Linux?
Pre tých, ktorí majú záujem o inštaláciu tejto novej verzie OpenSSH do svojich systémov, zatiaľ to môžu robiť stiahnutie zdrojového kódu tohto a na svojich počítačoch.
Je to preto, že nová verzia ešte nebola zahrnutá do úložísk hlavných distribúcií Linuxu. Zdrojový kód môžete získať z adresy nasledujúci odkaz.
Ukončiť sťahovanie, teraz rozbalíme balíček nasledujúcim príkazom:
tar -xvf openssh-9.9p2.tar.gz
Zadáme vytvorený adresár:
cd openssh-9.9p2
Y môžeme zostaviť s nasledujúce príkazy:
./configure --prefix = / opt --sysconfdir = / etc / ssh urobiť make nainštalovať