ثغرة تبادل المفاتيح GSSAPI في OpenSSH على دبيان (DSA-6204-1): من المتأثر وكيف تحدّث

نشرت دبيان في 9 أبريل 2026 التحذير DSA-6204-1 لحزمة openssh على دبيان 12 (bookworm) ودبيان 13 (trixie). يعالج التحديث الثغرة CVE-2026-3497 في رقعة تبادل المفاتيح عبر GSSAPI التي تضيفها دبيان وتوزيعات أخرى فوق النسخة الأصلية من OpenSSH. الإعداد الافتراضي غير متأثر، فالمشكلة تخص فقط الخوادم التي فُعِّل فيها الخيار GSSAPIKeyExchange، وهو ما يُستخدم عادةً مع الدخول الموحّد عبر Kerberos.

نظرة سريعة

ما طبيعة الثغرات؟

الثغرة CVE-2026-3497 (جهة الخادم): عند حدوث خطأ في شيفرة تبادل المفاتيح عبر GSSAPI، كانت الرقعة ترسل رسالة قطع الاتصال دون أن تُنهي العملية. وبحسب سجل الثغرة، يستطيع المهاجم إرسال نوع رسالة GSSAPI غير متوقع أثناء تبادل المفاتيح، فيواصل الخادم العمل ثم يقرأ لاحقًا متغيرات اتصال لم تُهيّأ. ويذكر تحذير دبيان أن المهاجم عن بُعد قد يستغل ذلك لإيقاف الخدمة، وربما لتنفيذ شيفرة عشوائية. ويشير السجل إلى أن الأثر الفعلي يعتمد كثيرًا على خيارات التقوية المستخدمة عند الترجمة. أما OpenSSH الأصلي فغير متأثر لأنه لا يتضمن هذه الرقعة.

تتباين التقييمات كثيرًا؛ فقد منحتها الجهة المُصدِرة للسجل (Canonical) درجة 2.7 وفق CVSS 4.0، في حين منحتها NVD درجة 7.5 وفق CVSS 3.1. والقاعدة العملية واضحة: إذا كان خادمك يعمل بالإعداد GSSAPIKeyExchange yes فاعتبر التحديث عاجلًا، وإلا فطبّقه ضمن تحديثاتك المعتادة.

الثغرتان CVE-2025-61984 وCVE-2025-61985 (جهة العميل، في bookworm فقط): يضم تحديث bookworm إصلاحين كانت دبيان قد جدولتهما للإصدار النقطي 12.14. وكلاهما يخص برنامج العميل ssh: محارف تحكّم في أسماء مستخدمين قادمة من مصادر غير موثوقة، ومحرف NUL داخل عنوان ssh://، وقد يؤدي ذلك إلى تنفيذ شيفرة عند استخدام ProxyCommand. ودرجة كل منهما 3.6 (منخفضة) وفق الجهة المُصدِرة.

هل أنت متأثر؟

تحقق أولًا من النسخة المثبتة وقارنها بالنسخة المصحَّحة لإصدارك:

dpkg-query -W -f='${Package} ${Version}\n' openssh-server openssh-client
apt policy openssh-server

ثم تحقق مما إذا كان تبادل المفاتيح عبر GSSAPI مفعّلًا؛ إذ يعرض الأمر sshd -T الإعداد الفعلي للخادم:

sudo sshd -T | grep -i gssapikeyexchange
grep -ri gssapi /etc/ssh/sshd_config /etc/ssh/sshd_config.d/

القيمة الافتراضية للخيار GSSAPIKeyExchange في صفحة دليل sshd_config لدى دبيان هي no. فإذا ظهر في الناتج gssapikeyexchange yes فالخادم معرّض حتى يُحدَّث.

كيف تحدّث؟

sudo apt update
sudo apt install --only-upgrade openssh-server openssh-client openssh-sftp-server
apt policy openssh-server

كما يجلب الأمر المعتاد sudo apt upgrade هذا التحديث. وقد يتيح إصدارك نسخة أحدث من المذكورة في التحذير، وأي نسخة مساوية للنسخة المصحَّحة أو أعلى منها تتضمن الإصلاح.

قد تجد على trixie الحزمتين openssh-server-gssapi وopenssh-client-gssapi. وتوضح ملاحظات إصدار trixie أنهما على هذا الإصدار حزمتان فارغتان تعتمدان على openssh-server وopenssh-client، لذا فالمهم هو تحديث الحزم الرئيسية. وإذا كنت تعتمد على GSSAPI فالملاحظات نفسها تطلب تثبيتهما من الآن، لأن حزم OpenSSH الرئيسية في دبيان ستتوقف عن دعم GSS-API بدءًا من forky.

إعادة تشغيل الخدمة أم الخادم؟

لا حاجة لإعادة تشغيل الخادم. أعد تشغيل خدمة SSH ليتولى البرنامج المصحَّح الاتصالات الجديدة، وأبقِ جلستك الحالية مفتوحة وجرّب الدخول من نافذة طرفية ثانية قبل إغلاقها:

sudo systemctl restart ssh

أما إصلاحات جهة العميل فتسري في المرة التالية التي يُشغَّل فيها ssh.

المصادر

• security-tracker.debian.org/tracker/DSA-6204-1
• lists.debian.org/debian-security-announce/2026/msg00114.html
• debian.org/security/2026/dsa-6204
• security-tracker.debian.org/tracker/CVE-2026-3497
• cve.org/CVERecord?id=CVE-2026-3497
• nvd.nist.gov/vuln/detail/CVE-2026-3497
• cve.org/CVERecord?id=CVE-2025-61984
• cve.org/CVERecord?id=CVE-2025-61985
• packages.debian.org/source/trixie/openssh
• debian.org/releases/trixie/release-notes/issues.en.html
• manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html
• manpages.debian.org/trixie/openssh-server/sshd.8.en.html