Se han identificado dos nuevas vulnerabilidades en el software OpenSSH que podrían facilitar ataques de tipo Machine-in-the-Middle (MitM) y denegación de servicio (DoS), según un informe publicado por la Unidad de investigación de amenazas de Qualys (TRU).
Vulnerabilidades descubiertas
Las vulnerabilidades, identificadas como CVE-2025-26465 y CVE-2025-26466, afectan a versiones del cliente y servidor OpenSSH entre las 6.8p1 y 9.9p1 (inclusive). Ambas fueron reveladas en febrero de 2025.
- CVE-2025-26465: El cliente OpenSSH contiene un error lógico entre las versiones 6.8p1 a 9.9p1 (inclusive) que lo hace vulnerable a un ataque MitM activo si la opción VerifyHostKeyDNS está habilitada. Esto permite que un intruso se haga pasar por un servidor legítimo cuando un cliente intenta conectarse, introducido en diciembre de 2014.
- CVE-2025-26466: El cliente y el servidor OpenSSH son vulnerables a un ataque DoS previo a la autenticación entre las versiones 9.5p1 a 9.9p1 (inclusive). Este ataque provoca el consumo de memoria y CPU, introducido en agosto de 2023.
Riesgos asociados
Según Qualys TRU, una explotación exitosa de CVE-2025-26465 podría permitir a actores maliciosos comprometer sesiones SSH y obtener acceso no autorizado a datos confidenciales. La opción VerifyHostKeyDNS está deshabilitada por defecto, lo que reduce el riesgo.
Por otro lado, la explotación repetida de CVE-2025-26466 puede provocar problemas de disponibilidad, impidiendo que los administradores administren servidores y bloqueen a usuarios legítimos, lo que paraliza operaciones rutinarias.
Corrección de las vulnerabilidades
Ambas vulnerabilidades han sido abordadas en la versión OpenSSH 9.9p2, publicada por los mantenedores del software.
Contexto previo
La revelación de estas nuevas vulnerabilidades ocurre más de siete meses después de que Qualys hubiera alertado sobre otra falla en OpenSSH denominada regreSSHion (CVE-2024-6387), que permitía la ejecución remota de código no autenticado con privilegios de root en sistemas Linux basados en glibc.
Las vulnerabilidades descritas son un recordatorio sobre la importancia del mantenimiento y actualización constante de los sistemas informáticos para mitigar riesgos potenciales.