Sårbarhet i GSSAPI-patchen för OpenSSH, som kan utnyttjas på distans innan autentisering

I den patch som används i många Linux-distributioner, gssapi.patch, vilket lägger till stöd för nyckelutbyte baserat på GSSAPI i OpenSSH, har en sårbarhet upptäckts (CVE-2026-3497) som leder till avdereferensiering av en pekare, minneskorruption och kringgående av privilegieseparationsmekanismen (Privsep). Sårbarheten kan utnyttjas på distans innan autentisering äger rum. Forskaren som upptäckte problemet demonstrerade att det gick att initiera en krasch av processen genom att skicka ett modifierat nätverkspaket till SSH-servern. Det kan också finnas mer farliga sätt att utnyttja sårbarheten utöver att orsaka tjänsteavbrott.

Det är värt att notera att utvecklarna av OpenSSH vid tillfället avstod från att inkludera ändringar för att stödja GSSAPI i huvudversionen på grund av osäkerhet rörande dess säkerhet. Många Linux-distributioner inkluderade dock denna patch i sina OpenSSH-paket. Flera versioner av GSSAPI-patchen förekommer, men de flesta av dem har en sårbarhetsåtgärdande fel. En lösning finns för närvarande endast tillgänglig i form av en patch, där ändringarna innebär att funktionen sshpkt_disconnect() ersätts med ssh_packet_disconnect() i filen kexgsss.c.

För närvarande har sårbarheten bekräftats i Debian och Ubuntu. För de övriga distributionerna bekräftas användningen av den problematiska patchen och dess sårbarhet (SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora). Sårbarheten uppträder endast när alternativet "GSSAPIKeyExchange yes" är aktiverat i inställningarna. Möjligheten att utnyttja sårbarheten påverkas också av kompilatoralternativ som används vid paketsammandrag.

Orsaken till sårbarheten är ett fel i funktionen sshpkt_disconnect(), vilket gör att processen inte avslutades efter att disconnect-meddelandet mottogs, vilket möjliggjorde för angriparen att under nyckelsammanslutning skicka en GSSAPI-meddelande typ som inte var avsedd enligt logiken. servern Efter mottagandet av ett oplanerat GSSAPI-meddelande, server placerar den i kön och avbryter inte programmet, men initierar inte variablerna som definierar anslutningsparametrarna. I den fortsatta händelsehanteringsloopen utförs kod som läser den oinitierade strukturen recv_tok från stacken (data som kvarstår i stacken från föregående funktionsanrop), skickar den till en privilegierad process via IPC och överför den sedan till funktionen gss_release_buffer(), som kan anropa funktionen free() och frigöra minnet för en felaktig pekare som refererar till ett slumpmässigt minnesområde.

Källa: opennet.ru