「OpenSSH」に複数脆弱性 - MITMやDoS攻撃のおそれ

「OpenSSH」の開発チームは、現地時間2025年2月18日にセキュリティアップデートとなる「OpenSSH 9.9p2」をリリースした。

今回のアップデートでは、2件の脆弱性「CVE-2025-26465」「CVE-2025-26466」を修正。Qualys Security Advisoryチームが発見、報告したもので、悪用が可能であることが確認されているという。

「CVE-2025-26465」は、「ssh」のホストキー検証に判明した脆弱性。「VerifyHostKeyDNS」オプションを有効化している場合に、中間者攻撃（MITM攻撃）によって任意のサーバになりすますことが可能となる。「同6.8p1」以降が同脆弱性の影響を受ける。

一方「CVE-2025-26466」は、「sshd」に判明したサービス拒否の脆弱性。「9.5p1」以降では、「SSH2_MSG_PINGパケット」の処理に問題があり、メモリやCPUのリソースを過剰に消費するおそれがある。

開発チームでは、これら脆弱性を修正した「OpenSSH 9.9p2」をリリース。アップデートを呼びかけている。

（Security NEXT - 2025/02/20 ）ツイート