مدونة سكاي لاين

تنبيه أمني ديبيان

تحديثات أمنية لمكتبتي libssh وlibssh2 في دبيان 12 و13 (DSA-6410-1 وDLA-4844-1 وDSA-6365-1 وDLA-4773-1)

عالجت دبيان في 2026 ثغرات عديدة في مكتبتي libssh وlibssh2. ليستا OpenSSH، لكن curl وإضافة ssh2 في PHP وQEMU تستخدمها. الإصدارات المطلوبة وطريقة التحديث.

تاريخ النشر
مدة القراءة
5 دقائق
الكاتب
SKYLINE Engineering

تنبيه أمني ثغرة أمنية

الخطورة: عالية الحالة: تم التصحيح
معرّفات CVE
الحالة
تتوفر نسخ مصحّحة لـ دبيان 13 (trixie) ودبيان 12 (bookworm).
المتأثر
  • حزمة libssh في دبيان 13 (trixie) قبل الإصدار 0.11.5-0+deb13u1
  • حزمة libssh في دبيان 12 (bookworm) قبل الإصدار 0.10.6-0+deb12u3
  • حزمة libssh2 في دبيان 13 (trixie) قبل الإصدار 1.11.1-1+deb13u1
  • حزمة libssh2 في دبيان 12 (bookworm) قبل الإصدار 1.10.0-3+deb12u1
تاريخ النشر
آخر تحديث

ما الذي يجب عليك فعله

  • ثبّت حزم libssh وlibssh2 المصححة على كل أنظمة دبيان 12 و13، حتى لو لم تكن تستخدمها مباشرة.
  • أعد تشغيل الخدمات التي تحمّلها، ولا سيما PHP-FPM وأدوات النسخ الاحتياطي أو النشر التي تتصل بخوادم SFTP بعيدة.
  • احذر عندما تتصل تطبيقاتك بخوادم SSH أو SFTP لا تتحكم بها، لأن معظم هذه الثغرات يطلقها طرف الخادم.
  • إذا كنت تشغّل خادم SFTP مبنياً على libssh في دبيان 13 فتأكد من أنه يستخدم 0.11.5-0+deb13u1 أو أحدث قبل إتاحته للمستخدمين.
التسلسل الزمني
  1. نشرت دبيان التحذير الأمني DSA-6365-1 لحزمة libssh2.
  2. نشرت دبيان التحذير الأمني DSA-6410-1 لحزمة libssh.
  3. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4773-1 لحزمة libssh2.
  4. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4844-1 لحزمة libssh.
  5. نشرت سكايلاين هذا الملخص.

أصدرت دبيان في 2026 أربع نشرات لمكتبتين خاصتين بـ SSH: مكتبة libssh (النشرة DSA-6410-1 لدبيان 13 في 2 أغسطس، وDLA-4844-1 لدبيان 12 في 20 أكتوبر)، ومكتبة libssh2 (النشرة DSA-6365-1 لدبيان 13 في 25 يونيو، وDLA-4773-1 لدبيان 12 في 5 سبتمبر). ولا علاقة لأي منهما بـ OpenSSH، فخادم sshd وأمر ssh يأتيان من الحزمتين openssh-server وopenssh-client اللتين لا تعتمدان عليهما. ويكمن الخطر في البرامج التي تدمج هاتين المكتبتين لإجراء اتصالات SSH أو SFTP، وغالباً بصفتها عميلاً يتصل بخادم قد يكون خبيثاً.

نظرة سريعة

المكتبةدبيان 13 (trixie)دبيان 12 (bookworm)الحزم الثنائية
libssh0.11.5-0+deb13u1 (DSA-6410-1، 15 ثغرة في الإعلان)0.10.6-0+deb12u3 (DLA-4844-1، 13 ثغرة)libssh-4، وفي bookworm أيضاً libssh-gcrypt-4
libssh21.11.1-1+deb13u1 (DSA-6365-1، 4 ثغرات)، ثم 1.11.1-1+deb13u2 في أرشيف trixie المعتاد1.10.0-3+deb12u1 (DLA-4773-1، 6 ثغرات)libssh2-1t64 في trixie وlibssh2-1 في bookworm

الخطورة الإجمالية عالية، استناداً إلى تقييمات الجهة المصدرة للمعرّف لثغرات libssh2، إذ بلغت درجة CVSS 3.1 للثغرة CVE-2026-66032 قيمة 8.8 وللثغرة CVE-2026-55200 قيمة 8.1. أما نشرات libssh نفسها فلا تتجاوز درجات ثغراتها 6.7. ولا تظهر أي من هذه الثغرات في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026.

ما طبيعة الثغرات

مكتبة libssh

تصف دبيان ثغرات libssh بأنها قد تؤدي إلى حجب الخدمة أو كشف معلومات أو ربما تنفيذ شيفرة عشوائية. وأبرزها بحسب نشرات libssh والنشرة DLA-4844-1:

  • CVE-2026-15370 (في trixie فقط): احتمال تجاوز سعة المكدس في خادم SFTP التابع للمكتبة عند عرض مجلد يحتوي على أسماء ملفات طويلة جداً يتحكم بها المهاجم، وتذكر libssh أن ذلك قد يؤدي إلى تنفيذ شيفرة. وتمس الثغرة الإصدار 0.11.0 وما بعده، لذلك لا يتأثر الإصدار 0.10.6 في bookworm.
  • CVE-2026-0964: يمكن لخادم SCP خبيث إرسال مسار يخرج من مجلد العمل.
  • CVE-2026-59847: مع واجهة OpenSSL الخلفية قد يُعامل فشل التحقق من وسم AES-GCM على أنه نجاح، مما يسمح بتعديل البيانات دون أن يُلاحظ.
  • CVE-2026-59850: بيانات تصل على قناة أُغلقت من الطرف الآخر قد تُسلَّم إلى دالة استدعاء بعد تحرير القناة.
  • عدة أخطاء في التحليل وحجب الخدمة مثل CVE-2026-0966 وCVE-2026-59843 وCVE-2026-59844. أما CVE-2026-59849 (حلقة لا نهائية مع المصادقة بالشهادات) فتمس trixie فقط.

مكتبة libssh2

مكتبة libssh2 مخصصة لجهة العميل، لذلك يطلق هذه الثغرات خادم خبيث أو طرف وسيط. وتذكر دبيان أنها قد تؤدي إلى كشف محتوى الذاكرة أو حجب الخدمة أو ربما تنفيذ شيفرة عشوائية.

  • CVE-2026-55200 (في trixie فقط): كتابة خارج حدود الكومة عند قراءة حزم SSH بقيمة طول ضخمة، ويشير متتبع دبيان إلى أن bookworm غير متأثر.
  • CVE-2026-66032: تحرير مزدوج للذاكرة في sftp_open() يمكن لخادم خبيث الوصول إليه أثناء تهيئة جلسة SFTP.
  • CVE-2026-66034 وCVE-2026-58050 وCVE-2026-58051: أخطاء ذاكرة في نظام المفاتيح العامة الفرعي.
  • CVE-2025-15661 وCVE-2026-7598 وCVE-2026-55199: قراءة زائدة من الكومة في معالجة الروابط الرمزية عبر SFTP، وتجاوز عددي في المصادقة بكلمة المرور، وحلقة تستهلك المعالج بسبب عدد امتدادات مصمم بعناية (الأخيرة في trixie فقط).

عالجت النشرة DSA-6365-1 المجموعة الأولى في trixie في يونيو، ثم وصلت إصلاحات المفاتيح العامة وSFTP الأربعة الواردة في DLA-4773-1 إلى trixie لاحقاً بالإصدار 1.11.1-1+deb13u2 عبر أرشيف الإصدار المستقر المعتاد وليس عبر نشرة DSA، لذا تأكد من أن مصادر الحزم لديك تتضمن مستودع trixie الرئيسي إلى جانب trixie-security.

هل أنت متأثر؟

في دبيان 13 تعتمد الحزمتان libcurl4t64 وlibcurl3t64-gnutls على libssh2-1t64، ومن ثم يعتمد عليها curl وإضافة curl في PHP وgit عبر HTTPS، وفي دبيان 12 تعتمد libcurl4 على libssh2-1. كما تستخدم إضافة ssh2 في PHP مكتبة libssh2، وتستخدم حزمة qemu-block-extra مكتبة libssh. افحص ما لديك:

dpkg -l 'libssh-*' 'libssh2-*'
apt policy libssh-4 libssh2-1t64   # Debian 13
apt policy libssh-4 libssh2-1      # Debian 12

قارن النتائج بالإصدارات في الجدول. أما دبيان 11 (bullseye) فقد تجاوز نهاية الدعم الممتد في 31 أغسطس 2026 وينبغي ترقيته.

طريقة التحديث

sudo apt update
sudo apt upgrade

وتختلف حزم أوبونتو، فراجع نشرات أوبونتو الأمنية.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة إلى إعادة تشغيل الخادم. البرامج التي حمّلت المكتبة القديمة تحتفظ بها حتى يُعاد تشغيلها، فالأوامر العابرة مثل curl وgit تستخدم الإصلاح في تشغيلها التالي، أما الخدمات طويلة التشغيل مثل PHP-FPM مع إضافة ssh2 أو curl فتحتاج إلى إعادة تشغيل:

sudo needrestart -r l
sudo systemctl restart php8.4-fpm

المصادر

المواضيع

SKYLINE Engineering

@skyline

The engineering team at SKYLINE Industrial Solutions. We publish field-tested guides drawn from real KSA and GCC deployments.

صفحة الكاتب
المزيد في ديبيان

ذات صلة: أدلة Skyline Nexus ERP

قاعدة معرفة Nexus ←
Skyline Nexus ERP

أدلة الضرائب والفوترة الإلكترونية في الخليج والشرق الأوسط

ضريبة القيمة المضافة، الفوترة الإلكترونية (زاتكا) وضريبة الشركات للسعودية والإمارات ودول الخليج.

 Skyline Nexus ERP

Skyline Nexus ERP — محاسبة سحابية وفوترة زاتكا الإلكترونية

نظام ERP سحابي من سكاي لاين: المحاسبة والفوترة والمخزون ونقاط البيع. الشهر الأول مجانًا.
SKYLINE engineering services

Need this implemented for you?

Reading is free — building it right takes a team. SKYLINE engineers ship Debian for Aramco vendors, banks, hospitals and government agencies across Saudi Arabia. Talk to us before you start.

Server Infrastructure Dell, HPE, Huawei, VMware, Hyper-V, HCI IT AMC Annual maintenance, 24/7 SLA, Bronze→Platinum
Talk to a SKYLINE engineer Call +966 50 993 9334
Aramco Approved Contractor ISO 9001 · ISO 27001 SAMA CSF aligned NCA ECC ready 247+ KSA clients

Comments

0 total · 0 threads
Be the first to leave a comment.