GSSAPI plaastri haavatavus OpenSSH-s, mida saab kaugelt ära kasutada autentimise eel.

Palju Linuxi distributsioonides kasutatavates gssapi.patch-i plaastrites, mis lisab OpenSSH-le GSSAPI põhiseid võtmevahetuse toe, on tuvastatud haavatavus (CVE-2026-3497), mis viib osutaja dereferentsimiseni, mälu kahjustumiseni ja privileegide eraldamise mehhanismi (Privsep) ümbersuunamiseni. Haavatavust saab kaugelt ära kasutada enne autentimise toimumist. Probleemi avastanud teadlane demonstreeris protsessi hävimise algatamist, saates SSH-serverile ühe muudetud võrgu paketti. Ei ole välistatud, et peale teenuse katkestamise on haavatavuse jaoks olemas veel ohtlikumaid ära kasutamise variante.

On tähelepanuväärne, et kunagi keeldusid OpenSSH arendajad GSSAPI toe toetamise muudatuse päästmisest, põhjustades kahtlusi selle turvalisuses. Paljud Linuxi distributsioonid on siiski selle plaastri oma OpenSSH pakettidesse lisanud. GSSAPI plaastri mitu versiooni on levinud, kuid enamikus neist on haavatavust põhjustav viga. Parandus on hetkel saadaval vaid plaastri vormis, mille muudatused hõlmavad sshpkt_disconnect() funktsiooni väljakutse asendamist ssh_packet_disconnect() funktsiooniga failis kexgsss.c.

Praegu on haavatavus kinnitatud Debianis ja Ubuntu. Muudes distributsioonides on probleemse plaastri rakendamise ja selle haavatavuse toimetamine aktiivselt kontrollimisel (SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora). Haavatavus ilmneb ainult siis, kui seadistustes on valitud valik „GSSAPIKeyExchange yes“. Haavatavuse ära kasutamise võimalusele mõjutavad ka sealsete distributsioonide paketi koostamisel kasutatud kompilaatori valikud.

Haavatavuse tekkimise põhjuseks on viga sshpkt_disconnect() funktsioonis, mille tõttu protsess ei lõpetanud pärast disconnect-sõnumi vastuvõtmist, mis võimaldas ründajal võtmete kokkuleppimise etapis saata mitte ettenähtud GSSAPI sõnumit. serverilt Pärast ettemääramata GSSAPI sõnumi saamist, server paneb tema järjekorda ja ei katkesta programmi täitmist, kuid ei initsialiseeri samal ajal ühenduse parameetreid määravaid muutujaid. Hiljem, sündmuste töötlemise tsüklis, täidab koodi, mis loeb initsialiseerimata struktuuri recv_tok virnast (loetakse andmed, mis on virnas jäänud eelmise funktsiooni kutsumise järel), saadab selle privileeritud protsessile läbi IPC ja seejärel edastab gss_release_buffer() funktsiooni, mis võib kutsuda funktsiooni free() ja vabastada mälu vale viitaja jaoks, mis viitab juhuslikule mälu piirkonnale.

Allikas: opennet.ru