Vulnerabilități noi în OpenSSH expun serverele SSH la atacuri de MiTM și DoS

OpenSSH a lansat actualizări de securitate pentru a remedia două vulnerabilități, una de tip machine-in-the-middle (MiTM) și una de tip denial of service, una dintre vulnerabilități fiind introdusă acum peste un deceniu.

Qualys a descoperit ambele vulnerabilități și a demonstrat modul în care acestea pot fi exploatate echipei de întreținere a OpenSSH.

OpenSSH (Open Secure Shell) este o implementare gratuită și open-source a protocolului SSH (Secure Shell), care oferă comunicare criptată pentru accesul remote securizat, transferurile de fișiere și tunelarea peste rețele nesigure.

Este una dintre cele mai utilizate unelte din lume, cu un nivel ridicat de adoptare în rândul sistemelor Linux și bazate pe Unix (BSD, macOS) întâlnite în mediile enterprise, IT, DevOps, cloud computing și aplicații de cibernetică.

Vulnerabilitatea MiTM, urmărită sub numărul CVE-2025-26465, a fost introdusă în decembrie 2014 odată cu lansarea OpenSSH 6.8p1, astfel că problema a rămas nedetectată timp de peste un deceniu.

Deficiența afectează clienții OpenSSH atunci când opțiunea ‘VerifyHostKeyDNS’ este activată, permițând actorilor răufăcători să efectueze atacuri de tip MiTM.

‘Atacul împotriva clientului OpenSSH (CVE-2025-26465) reușește indiferent dacă opțiunea VerifyHostKeyDNS este setată pe ‘yes’ sau ‘ask’ (implicit este ‘no’), nu necesită interacțiunea utilizatorului și nu depinde de existența unui înregistrare resursă SSHFP (o amprentă SSH) în DNS,’ explică Qualys.

Când este activată, datorită gestionării incorecte a erorilor, un atacator poate păcăli clientul să accepte cheia unui server fals forțând o eroare de tip out-of-memory în timpul verificării.

Prin interceptarea unei conexiuni SSH și prezentarea unei chei SSH mari cu extensii de certificat excesive, atacatorul poate epuiza memoria clientului, a trece peste verificarea gazdei și a prelua sesiunea pentru a fura credențiale, injecta comenzi și exfiltra date.

Deși opțiunea ‘VerifyHostKeyDNS’ este dezactivată implicit în OpenSSH, aceasta a fost activată implicit pe FreeBSD între 2013 și 2023, lăsând multe sisteme expuse la aceste atacuri.

A doua vulnerabilitate este CVE-2025-26466, o deficiență de denial of service pre-autentificare introdusă în OpenSSH 9.5p1, lansată în august 2023.

Problema derivă dintr-o alocare nereglementată a memoriei în timpul schimbului de chei, ducând la o consumație necontrolată a resurselor.

Un atacator poate trimite repetat mesaje ping mici de 16 octeți, ceea ce determină OpenSSH să stocheze răspunsuri de 256 de octeți fără limite imediate.

În timpul schimbului de chei, aceste răspunsuri sunt stocate pe termen nelimitat, ceea ce duce la o consumație excesivă a memoriei și suprasolicitare a CPU-ului, putând provoca prăbușiri ale sistemului.

Repercusiunile exploatării CVE-2025-26466 nu pot fi la fel de grave ca în cazul primei deficiențe, dar faptul că poate fi exploatată înainte de autentificare menține un risc foarte ridicat de perturbare.

Echipa OpenSSH a publicat versiunea 9.9p2 mai devreme astăzi, care remediază ambele vulnerabilități, așa că se recomandă ca toată lumea să treacă la acea versiune cât mai curând posibil.

În plus, se recomandă dezactivarea VerifyHostKeyDNS decât dacă este absolut necesar și a se baza pe verificarea manuală a amprentei cheii pentru a asigura conexiuni SSH securizate.

În ceea ce privește problema de tip DoS, administratorii sunt încurajați să impună limite stricte de rată a conexiunilor și să monitorizeze traficul SSH pentru modele anormale pentru a opri potențialele atacuri devreme.