Уязвимост в GSSAPI патча за OpenSSH, експлоатирана дистанционно преди аутентификацията

В патча gssapi.patch, използван в много дистрибуции на Linux, който добавя поддръжка за обмен на ключове чрез GSSAPI в OpenSSH, е установена уязвимост (CVE-2026-3497), водеща до разыменуване на указател, повреждане на паметта и заобикаляне на механизма за разделение на привилегиите (Privsep). Уязвимостта може да бъде експлоатирана дистанционно на етапа преди удостоверяване. Изследователят, който е открил проблема, демонстрира иницииране на аварийно спиране на процеса чрез изпращане на един модифициран мрежов пакет до SSH сървъра. Не се изключва, че освен отхвърляне на обслужването, съществуват и по-опасни опции за експлоатация на уязвимостта.

Забележително е, че навремето разработчиците на OpenSSH отказаха да приемат промени за поддръжка на GSSAPI в основния код, поради съмнения в сигурността му. Въпреки това много дистрибуции на Linux включиха този патч в пакетите си с OpenSSH. В практиката се срещат няколко версии на GSSAPI патча, но в повечето от тях има грешка, водеща до уязвимост. Понастоящем поправката е налична само под формата на патч, който замества извикването на функцията sshpkt_disconnect() с ssh_packet_disconnect() в файла kexgsss.c.

В момента наличието на уязвимостта е потвърдено в Debian и Ubuntu. При останалите дистрибуции се уточнява приложението на проблемния патч и неговата подверженост на уязвимост (SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora). Уязвимостта се проявява само при включване в настройките на опцията „GSSAPIKeyExchange yes“. На възможността за експлоатация влияят и опции за компилация, с които е събран пакетът в дистрибуциите.

Причината за възникването на уязвимостта е грешка в функцията sshpkt_disconnect(), поради която процесът не приключва след получаване на съобщение за разединяване, позволявайки на атакуващия по време на преговорите за ключове да изпрати нестандартизирано съобщение тип GSSAPI. сървър След получаване на непланирано GSSAPI-съобщение, сървър поставя го в опашка и не прекъсва изпълнението на програмата, но не инициализира променливите, определящи параметрите на връзката. По-късно в цикъла на обработка на събитията се изпълнява код, който чете неинициализирана структура recv_tok от стека (чете данни, останали в стека от последното извикване на функцията), изпраща я на привилегирования процес чрез IPC и след това я предава на функцията gss_release_buffer(), която може да извика функцията free() и да освободи паметта за некоректен указател, сочещ към произволна област от паметта.

Източник: opennet.ru