Pak ditë më parë, Damian Miller (një nga zhvilluesit e OpenSSH), e bëri të njohur, përmes listave të postimeve, të Publikimi i mirëmbajtjes OpenSSH 9.9p2 që rregullon dy dobësi kritike zbuluar nga Qualys, të cilat mund të shfrytëzohen për të kryer sulme Man-in-the-Middle (MITM).
Përmendet se këto gabime lejoi një sulmues të përgjonte lidhjet SSH dhe mashtroni klientin që të pranojë çelësin e një serveri me qëllim të keq në vend të çelësit legjitim të serverit të synuar.
CVE-2025-26465: Anashkalimi i verifikimit të çelësit SSH
E para nga dobësitë që u rregullua në lëshimin e këtij versioni korrigjues është CVE-2025-26465. Kjo dobësi është për shkak të një gabimi logjik në programin ssh, i cili lejon një sulmues të anashkalojë verifikimin e çelësit të serverit dhe të ekzekutojë me sukses një sulm MITM.
Kur një klient përpiqet të lidhet në një server SSH, Një sulmues mund të ridrejtojë trafikun në një server të rremë dhe bëjnë që klienti të pranojë çelësin e pasaktë pa paralajmërim, duke besuar se ai është i lidhur me serverin legjitim.
Përveç kësaj, kjo dobësi:
- Ka qenë i pranishëm në OpenSSH që nga versioni 6.8p1 (dhjetor 2014).
- Aktivizohet kur opsioni VerifyHostKeyDNS është i aktivizuar.
- Në konfigurimin bazë të OpenSSH, ky opsion është i çaktivizuar si parazgjedhje, por në FreeBSD është aktivizuar deri në mars 2023.
Sa i përket shkaqeve që shkaktojnë këtë dështim, përmendet se Kjo ndodh sepse funksioni verify_host_key_callback() thërret verify_host_key(), por kontrollon vetëm nëse kodi i gabimit i kthyer është -1, duke injoruar kodet e tjera të gabimit si -2. Kur verify_host_key() kthen -2 kur ka memorie të pamjaftueshme, por për shkak të lëshimit të kodit të gabimit, Sistemi gabimisht supozon se çelësi pritës është verifikuar në mënyrë korrekte.
Kështu, një sulmues mund të shfrytëzojë këtë defekt duke krijuar një server të rremë SSH që dërgon një çelës të madh pritës (256 KB), duke shkaktuar konsum të tepruar të memories tek klienti dhe duke shkaktuar gjendjen e gabimit të patrajtuar.
CVE-2025-26466: Rrjedhja e memories dhe konsumi i tepërt i CPU-së në SSH
Dobësia e dytë që u korrigjua është CVE-2025-26466 dhe kjo dobësi ndikon si klientin ssh ashtu edhe serverin sshd, ya que lejon shterjen e memories të procesit dhe gjenerojnë ngarkesë të lartë të CPU-së duke dërguar në mënyrë të përsëritur pako SSH2_MSG_PING.
Ndikimi i madh i kësaj cenueshmërie qëndron në faktin se Mund të shfrytëzohet pa vërtetim dhe ndikon në OpenSSH që nga versioni 9.5p1 (gusht 2023). Përveç kësaj, ai lejon një sulmues të konsumojë burimet e sistemit, duke degraduar performancën dhe madje duke shkaktuar një mohim të shërbimit (DoS).
Lidhur me shkaqet që shkaktojnë këtë dështim, përmendet se është për faktin se Çdo paketë hyrëse 2-byte SSH16_MSG_PING bën që të ndahet një buffer 256-bajtë në kujtesë. Ky buffer nuk lirohet derisa marrëveshja e çelësit të përfundojë, duke rezultuar në një rrjedhje memorie kur dërgohen paketa të shumta PING.
Zbutja dhe zgjidhja
Si një zgjidhje, Rekomandohet të vendosni kufizime në sshd_config duke përdorur direktivat e mëposhtme:
- LoginGraceTime: Kjo kufizon afatin kohor për vërtetimin.
- MaxStartups: kufizon numrin e lidhjeve të paautentikuara.
- Penalitetet e PerSource: aplikon ndëshkime për klientët që gjenerojnë përpjekje të shumta për lidhje.
Dhe sa i përket zgjidhjet, E para dhe më e rekomanduara është përmirësoni OpenSSH në versionin e lëshuar, "9.9p2" sa më shpejt të jetë e mundur për të korrigjuar këto dobësi. Por nëse përmirësimi i menjëhershëm nuk është i realizueshëm, duhet të zbatohen masat zbutëse të përmendura më sipër. Për më tepër, rekomandohet të çaktivizoni VerifyHostKeyDNS nëse nuk përdoren mekanizma të besueshëm të verifikimit DNSSEC.
Dremitje të interesuar të dinë më shumë për të, ju mund të kontrolloni detajet në lidhja e mëposhtme.
Si të instaloni OpenSSH në Linux?
Për ata që janë të interesuar të jenë në gjendje të instalojnë këtë version të ri të OpenSSH në sistemet e tyre, tani për tani ata mund ta bëjnë atë duke shkarkuar kodin burimor të kësaj dhe duke kryer përpilimin në kompjuterët e tyre.
Kjo sepse versioni i ri nuk është përfshirë ende në depot e shpërndarjeve kryesore të Linux. Për të marrë kodin burim, mund të bëni nga lidhja e mëposhtme.
Shkarkimi u krye, tani do të zbërthejmë paketën me komandën e mëposhtme:
tar -xvf openssh-9.9p2.tar.gz
Ne hyjmë në drejtorinë e krijuar:
cd openssh-9.9p2
Y mund të përpilojmë me komandat e mëposhtme:
./configure - prefix = / opt --sysconfdir = / etc / ssh bëni instalimin