Novas falhas em OpenSSH
19 de Fevereiro de 2025

A OpenSSH lançou atualizações de segurança para endereçar duas vulnerabilidades, uma falha de person-in-the-middle (MitM) e outra de negação de serviço (DoS), sendo que uma das falhas foi introduzida há mais de uma década.

A Qualys descobriu ambas as vulnerabilidades e demonstrou a possibilidade de exploração aos mantenedores da OpenSSH.

OpenSSH (Open Secure Shell) é uma implementação livre e de código aberto do protocolo SSH (Secure Shell), que fornece comunicação criptografada para acesso remoto seguro, transferências de arquivos e tunelamento através de redes não confiáveis.

É uma das ferramentas mais utilizadas no mundo, com altos níveis de adoção em sistemas baseados em Linux e Unix (BSD, macOS) encontrados em ambientes corporativos, TI, DevOps, computação em nuvem e aplicações de cibersegurança.

A vulnerabilidade MiTM, rastreada sob o CVE-2025-26465 , foi introduzida em dezembro de 2014 com o lançamento do OpenSSH 6.8p1, de modo que o problema permaneceu não detectado por mais de uma década.

A falha afeta clientes OpenSSH quando a opção 'VerifyHostKeyDNS' está habilitada, permitindo que atores de ameaças realizem ataques MitM.

"O ataque contra o cliente OpenSSH ( CVE-2025-26465 ) tem sucesso independentemente de a opção VerifyHostKeyDNS estar configurada como 'yes' ou 'ask' (seu padrão é 'no'), não requer interação do usuário e não depende da existência de um registro de recurso SSHFP (uma impressão digital SSH) no DNS", explica a Qualys.

Quando habilitado, devido ao tratamento inadequado de erro, um atacante pode enganar o cliente para aceitar a chave de um servidor malicioso forçando um erro de falta de memória durante a verificação.

Interceptando uma conexão SSH e apresentando uma chave SSH grande com extensões de certificado excessivas, o atacante pode esgotar a memória do cliente, burlar a verificação do host e sequestrar a sessão para roubar credenciais, injetar comandos e exfiltrar dados.

Embora a opção 'VerifyHostKeyDNS' seja desabilitada por padrão no OpenSSH, ela estava habilitada por padrão no FreeBSD de 2013 até 2023, deixando muitos sistemas expostos a esses ataques.

A segunda vulnerabilidade é CVE-2025-26466, uma falha de DoS pré-autenticação introduzida no OpenSSH 9.5p1, lançado em agosto de 2023.

O problema surge de uma alocação de memória irrestrita durante a troca de chaves, levando ao consumo descontrolado de recursos.

Um atacante pode enviar repetidamente pequenas mensagens de 16 bytes (ping), que forçam o OpenSSH a armazenar respostas de 256 bytes sem limites imediatos.

Durante a troca de chaves, essas respostas são armazenadas indefinidamente, levando ao consumo excessivo de memória e sobrecarga de CPU, potencialmente causando falhas no sistema.

As repercussões da exploração do CVE-2025-26466 podem não ser tão graves quanto a primeira falha, mas o fato de que é explorável antes da autenticação mantém um risco muito alto para interrupção.

A equipe do OpenSSH publicou a versão 9.9p2 hoje mais cedo, que endereça ambas as vulnerabilidades, recomendando-se que todos migrem para essa versão o mais rápido possível.

Adicionalmente, é recomendado desabilitar o VerifyHostKeyDNS a menos que seja absolutamente necessário e confiar na verificação manual da impressão digital das chaves para garantir conexões SSH seguras.

Quanto ao problema de DoS, os administradores são encorajados a impor limites estritos de taxa de conexão e monitorar o tráfego SSH para padrões anormais para deter ataques potenciais precocemente.

Publicidade

Traçamos um caminho para você ir do zero ao avançado em hacking

Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...