Две критични уязвимости засягат libssh2 – широко използвана SSH библиотека, която може да е вградена в милиони системи по целия свят. Хакерите могат да атакуват уязвими инстанции от разстояние, без да се нуждаят от привилегии или взаимодействие с потребителя. Уязвимите версии на libssh2 включват 1.11.1 и всички по-стари версии. Корекциите вече са налични, но много официални хранилища все още може да съдържат уязвими версии.

Libssh2 се използва за дистанционно управление и администриране на много системи. Например, libssh2 е библиотека на трета страна, необходима за работата на curl, за да поддържа протоколите SCP и SFTP. Тя присъства в повечето официални хранилища с пакети за основните дистрибуции на Linux.

Библиотеката се използва широко и в инструменти за архивиране, софтуер за прехвърляне на файлове, мрежови/IoT устройства, които рядко се актуализират, както и в други приложения. Уязвимостите могат да засегнат огромна екосистема от крайни потребители.

Първата е уязвимост при запис извън границите на паметта с критична степен на сериозност 9,2 от 10, проследявана като CVE-2026-55200. Libssh2 има вътрешно ограничение за размера на получаваните пакети, но не успява да го наложи, което позволява на атакуващите да задават по-големи размери и да записват извън края на буфера, повреждайки следващата памет. Атаката е с ниска сложност, не изисква привилегии или удостоверяване и не изисква взаимодействие от страна на потребителя. Всичко, от което атакуващият се нуждае, е да намери система, на която се изпълнява уязвима версия на libssh2 и която предоставя SSH функционалност през мрежата.

„Злоумишленици от разстояние могат да изпращат специално подбрани SSH пакети със прекалено големи стойности на packet_length, за да повредят паметта на купата и да постигнат отдалечено изпълнение на код.“

се посочва в предупреждението в GitHub

Втората уязвимост води до отказ на услуга (DoS) и има „висока“ степен на сериозност – 8,2 от 10, като е регистрирана под CVE-2026-55199. Тя е насочена към уязвими клиенти, свързващи се с компрометирани SSH сървъри.

„Уязвимостта за отказ на услуга преди автентификация позволява на злонамерен SSH сървър да предизвика цикъл на изчерпване на ресурсите на процесора на клиента чрез изпращане на специално създадена стойност за броя на разширенията.“

обяснява предупреждението

По време на автентификацията (първоначалния обмен на ключове) сървърът може да декларира абсурдно голям брой поддържани разширения, „което кара клиента да се върти в тесен цикъл на процесора в продължение на над 60 секунди“. Поддържащите екипи вече са отстранили грешките чрез 2 комита в GitHub: съответно 97acf3d и 1762685. Въпреки това те все още не са пуснали нова официална версия на libssh2. Дистрибуциите на Linux и други проекти се опитват спешно да внесат поправките в собствените си пакети.