أصدرت دبيان في 18 فبراير 2025 التحذير DSA-5868-1 لحزمة openssh على دبيان 12 (bookworm). يعالج التحديث الثغرة CVE-2025-26465 التي اكتشفها فريق أبحاث التهديدات في Qualys، إذ يمكن خداع عميل OpenSSH بهجوم الوسيط عندما يكون الخيار VerifyHostKeyDNS مفعّلًا. هذا الخيار معطّل افتراضيًا، لذا لم تتعرض معظم الأجهزة للخطر، لكن على أجهزة المسؤولين وخوادم الأتمتة التي تثق بسجلات SSHFP في DNS أن تتحقق.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | openssh (يهم الإصلاح الحزمة الثنائية openssh-client التي توفّر الأمر ssh) |
| الإصدارات | دبيان 12 (bookworm)، وتلقّى دبيان 11 (bullseye) التحذير DLA-4057-1 في اليوم نفسه |
| النسخ المصحَّحة | bookworm: 1:9.2p1-2+deb12u5، وbullseye: 1:8.4p1-5+deb11u4 (للتوثيق فقط) |
| الثغرة | CVE-2025-26465 |
| الخطورة | متوسطة: درجة 6.8 وفق CVSS 3.1 من الجهة المُصدِرة (Red Hat) |
| التحذير | DSA-5868-1 بتاريخ 18 فبراير 2025 |
ما طبيعة الثغرة؟
عند تفعيل VerifyHostKeyDNS يتحقق العميل ssh من مفتاح الخادم بمقارنته بسجلات SSHFP المنشورة في DNS. وتصف ملاحظات إصدار OpenSSH 9.9p2 خطأً منطقيًا في النسخ من 6.8p1 إلى 9.9p1 يتيح لمهاجم يقع في مسار الاتصال انتحال هوية أي خادم عند تفعيل هذا الخيار. وتذكر Qualys أن الهجوم ينجح سواء كانت قيمة الخيار yes أو ask، ودون أي تفاعل من المستخدم. وبذلك قد يتمكن المهاجم من قراءة ما ترسله عبر الجلسة أو تعديله، بما في ذلك كلمات المرور التي تكتبها فيها.
ويغطي تقرير Qualys نفسه ثغرة ثانية هي CVE-2025-26466، وتتعلق باستنزاف الذاكرة والمعالج قبل المصادقة في النسخ من 9.5p1 إلى 9.9p1. ويصنّف متتبع الأمان في دبيان الإصدارين bookworm وbullseye على أنهما غير متأثرين لأن الشيفرة المعيبة أُضيفت في نسخة لاحقة. أما دبيان 13 (trixie) فيأتي مع OpenSSH 10.0p1، وهي أحدث من النسخة المصحَّحة 9.9p2، ويعدّه المتتبع مصحَّحًا من الثغرتين.
هل أنت متأثر؟
تحقق من نسخة العميل المثبتة وقارنها بالنسخة المصحَّحة:
dpkg-query -W -f='${Package} ${Version}\n' openssh-client openssh-server
apt policy openssh-clientثم تحقق مما إذا كان أي إعداد يفعّل الخيار. يطبع الأمر ssh -G الإعداد الذي سيستخدمه العميل مع خادم معيّن بعد تقييم كتل Host وMatch:
ssh -G server.example.com | grep -i verifyhostkeydns
grep -ri verifyhostkeydns /etc/ssh/ssh_config /etc/ssh/ssh_config.d/ ~/.ssh/configإذا لم تكن القيمة الظاهرة yes أو true أو ask للخوادم التي تتصل بها (والخيار معطّل افتراضيًا)، فالثغرة لا تنطبق عليك. ولا تنسَ فحص الحسابات التي تستخدمها السكربتات وخوادم التكامل المستمر ومهام النسخ الاحتياطي، لا حسابك فقط.
كيف تحدّث؟
sudo apt update
sudo apt install --only-upgrade openssh-client openssh-server
apt policy openssh-clientأي نظام طُبّق عليه apt upgrade بانتظام منذ فبراير 2025 يحمل هذا الإصلاح بالفعل، فالنسخة المتاحة اليوم لـ bookworm أحدث من 1:9.2p1-2+deb12u5. أما دبيان 11 (bullseye) فقد انتهت فترة دعمه طويل الأمد في 31 أغسطس 2026، لذا ينبغي ترقية أجهزته إلى إصدار مدعوم بدل ترقيع الحزم واحدة تلو الأخرى.
إعادة تشغيل الخدمة أم الخادم؟
لا حاجة لإعادة تشغيل الخادم. الإصلاح في برنامج العميل، فيسري في المرة التالية التي يُشغَّل فيها ssh. أغلق عمليات العميل طويلة العمر وأعد فتحها، مثل الأنفاق وجلسات autossh واتصالات ControlMaster، لتستخدم البرنامج المحدَّث.
المصادر
- security-tracker.debian.org/tracker/DSA-5868-1
- lists.debian.org/debian-security-announce/2025/msg00030.html
- debian.org/security/2025/dsa-5868
- security-tracker.debian.org/tracker/DLA-4057-1
- lists.debian.org/debian-lts-announce/2025/02/msg00020.html
- security-tracker.debian.org/tracker/CVE-2025-26465
- security-tracker.debian.org/tracker/CVE-2025-26466
- cve.org/CVERecord?id=CVE-2025-26465
- cve.org/CVERecord?id=CVE-2025-26466
- openssh.com/releasenotes.html#9.9p2
- qualys.com/2025/02/18/openssh-mitm-dos.txt
- manpages.debian.org/bookworm/openssh-client/ssh.1.en.html
- manpages.debian.org/bookworm/openssh-client/ssh_config.5.en.html
- debian.org/releases
Comments
0 total · 0 threads