Libssh2'deki kritik bir kusur olan CVE-2026-55200 için genel bir kavram kanıtı artık çıktı; bu, kötü amaçlı veya güvenliği ihlal edilmiş bir SSH sunucusunun, olası kod yürütmeyle bağlantılı bir istemcide bellek bozulmasını tetiklemesine olanak tanıyor. Kimlik bilgisi yok, kullanıcı etkileşimi yok. Hata, 1.11.1'e kadar olan tüm sürümleri etkilemektedir ve CVSS 4.0 puanı 9,2'dir.
libssh2, bir sunucu değil, istemci tarafı bir SSH kitaplığıdır. Bu ayrım önemlidir. Curl, Git, PHP, yedekleme aracıları, ürün yazılımı güncelleyicileri ve çok sayıda cihaza gömülüdür.
Onu bağlayan ve güvenilmeyen bir SSH uç noktasına ulaşan her şey potansiyel bir hedeftir. Bu kopyaların birçoğu statik olarak bağlantılı olduğundan, dağıtım paketi güncellemesi bunlara etki etmeyecektir ve bunların orada olduğunu bilemeyebilirsiniz.
Hata nasıl çalışıyor?
Kusur, el sıkışma sırasında gelen SSH paketlerini ayrıştıran Transport.c işlevindeki ssh2_transport_read() işlevinde bulunuyor. Saldırganın kontrol ettiği package_length alanını okudu ve yalnızca 1'in altındaki değerleri reddetti. Hiçbir zaman bir üst sınır uygulamadı.
Boyut hesaplaması, 32 bit aritmetik kullanarak birkaç küçük değere package_length ekler; böylece 0xffffffff uzunluğu küçük bir sayıya sarılır. libssh2 daha sonra küçük sayı için boyutlu bir arabellek ayırır, daha sonra kod ise tam, büyük boyutlu paketi buna yazar.
Sonuç, CWE-680 olarak sınıflandırılan, sınır dışı bir yığın yazma, arabellek taşmasına tamsayı taşması, kod yürütme için klasik bir ilkeldir. Düzeltme, matematik çalıştırılmadan önce LIBSSH2_PACKET_MAXPAYLOAD üzerindeki paket_uzunluğunu reddederek eksik kontrolü ekler.
libssh2 daha önce buna takıldı. 2019 yılında, CVE-2019-3855'in yol açtığı dokuz kusurdan oluşan bir grubu düzeltmek için 1.8.1 sürümünü yayınladı; bu, aynı zamanda kötü amaçlı bir sunucunun bağlanan bir istemcide kod çalıştırmasına da izin veren aktarım okumasındaki neredeyse aynı tamsayı taşmasıydı. Yedi yıl sonra aynı kodda aynı sınıftaki hata yeniden ortaya çıktı.
Güvenlik araştırmacısı Tristan Madani sorunu bildirdi. Bakımcılar yamayı 12 Haziran'da 2052 numaralı çekme isteği aracılığıyla birleştirdi. VulnCheck, CVE'yi 17 Haziran'da yayınladı.
GitHub'un yararlanma kodu arşivi olan "exploitarium"da herkese açık bir kavram kanıtı yayınlandı. Yazar, girişlerin önceden rapor edilmeden yayınlandığını söylüyor. Arşiv, anahtar teslimi bir uzaktan istismar değil, libssh2 hatası için yerel olarak doğrulanmış bir SSH tetikleme iskelesi ve kontrollü bir yerel RCE donanımı içerir. Canlı bir uygulamaya karşı güvenilir kod yürütme, yine de hedef ikiliye, ayırıcı davranışına, azaltıcı etkenlere ve yazılımın libssh2'yi nasıl yerleştirdiğine bağlı olacaktır.
Bağlam tartılmaya değer. Yazar, arşivin eksik kaldığını, bazı girişlerin zayıf olduğunu ve yapay zekanın bulanıklaşmaya neden olduğunu kabul ediyor. Şu an itibariyle, CISA'nın CVE'ye ilişkin kullanım derecelendirmesi hala hiçbir değer göstermiyor ve herhangi bir vahşi kullanım rapor edilmedi.
Ne yapmalı
Henüz sabit bir libssh2 sürümü yok. Yama ana kaynakta yer alıyor ve etiketli bir sürüm hala hazırlanıyor, dolayısıyla Linux dağıtımları ve alt projeler yamayı kendileri destekliyor; Debian'ın test aşamasında zaten onarılmış bir yapısı var.
NHS England Digital, etkilenen kuruluşları güncellemeye çağıran bir tavsiye niteliğinde bildiri yayınladı.
Paket yöneticilerinin işaretlemeyeceği statik veya paketlenmiş kopyalar dahil, libssh2'yi bağlayan her şeyin envanterini çıkarın. curl, Git ve PHP dağıtımları yaygın taşıyıcılardır.
İster dağıtım destek portu ister yamalı kaynak yapısı olsun, 97acf3d taahhütünü içeren bir yapı uygulayın ve sürüm durumu için satıcınızın danışma kanalını izleyin.
Yama uygulanana kadar, giden SSH bağlantılarını güvenilir sunuculara sınırlayın ve ana bilgisayar anahtarlarını doğrulayın. Harici SSH sunucularına ulaşan veya ana bilgisayarları bir saldırganın yönlendirebileceği adlarla çözümleyen istemcilere öncelik verin. Büyük boyutlu paket anormalliklerine ve açıklanamayan istemci çökmelerine dikkat edin.
Grubun geri kalanını da yamalayın: CVE-2026-55199 (CVSS 8.2), bağlanan bir istemciyi sahte bir uzantı sayımı yoluyla bir CPU döngüsüne hapseden bir hizmet reddi ve bir SFTP yığınının aşırı okunması olan CVE-2025-15661 (CVSS 8.3).
Temel sorun, daha fazla istemci ve uygulamaya gönderilen koddaki kimlik doğrulama öncesi bellek bozulması hatasıdır.
kimsenin tam olarak haritalandıramadığı kadar çok şey var.
Açık sorular, birisinin yerel donanımı ne kadar hızlı bir şekilde güvenilir bir uzaktan istismara dönüştürdüğü ve paket halindeki kopyalardan kaçının savunmasız kaldığı, çünkü kimse içine libssh2 gönderdiklerini hatırlamadığıdır.
