Vulnerabilidades no OpenSSH expõem utilizadores a ataques MitM e DoS

A Qualys Threat Research Unit revelou a existência de duas falhas de segurança no OpenSSH que podem comprometer a integridade das conexões SSH. As vulnerabilidades, identificadas como CVE-2025-26465 e CVE-2025-26466, foram corrigidas na versão 9.9p2 do OpenSSH e têm origem em erros de memória que podem ser explorados por atacantes.

A falha CVE-2025-26465 permite ataques man-in-the-middle (MitM), nos quais um atacante pode redirecionar a conexão SSH de um utilizador para um servidor controlado, em vez do destino legítimo, o que pode resultar no roubo de credenciais ou de outras informações confidenciais. O sucesso do ataque depende da configuração da opção VerifyHostKeyDNS no cliente OpenSSH, que deve estar definida como “sim” ou “perguntar”. Embora, por predefinição, esta opção esteja desativada, sistemas como o FreeBSD mantiveram-na ativa por padrão entre 2013 e 2023, aumentando a exposição ao risco.

Já a vulnerabilidade CVE-2025-26466, presente desde 2023, pode ser explorada para desencadear ataques de negação de serviço (DoS) contra clientes e servidores OpenSSH. Um atacante pode esgotar os recursos de memória enviando um elevado número de pings e chaves de host de servidor com extensões de certificado adicionais, levando a uma falha na troca de chaves e permitindo a ligação a servidores não verificados.

Dado o impacto potencial destas falhas, a Qualys recomenda a atualização imediata para o OpenSSH 9.9p2. Além disso, a mitigação pode ser feita desativando o VerifyHostKeyDNS para reduzir o risco associado ao CVE-2025-26465 e ajustando parâmetros como LoginGraceTime, MaxStartups e PerSourcePenalties para dificultar a exploração do CVE-2025-26466 em servidores OpenSSH.

A presença do OpenSSH em múltiplos sistemas Unix-like, incluindo Linux e macOS, torna estas falhas particularmente preocupantes. A Qualys já havia identificado, em julho de 2024, uma vulnerabilidade de execução remota de código (RCE) no OpenSSH, designada regreSSHion, que expôs milhões de servidores na Internet.