18.02.2025

Уязвимость BDU:2025-01959

Идентификатор: BDU:2025-01959.

Наименование уязвимости: Уязвимость компонента VerifyHostKeyDNS средства криптографической защиты OpenSSH, позволяющая нарушителю провести атаку межсайтового скриптинга (XSS).

Описание уязвимости: Уязвимость компонента VerifyHostKeyDNS средства криптографической защиты OpenSSH связана с недостатками обработки ошибок при проверке ключа хоста. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга (XSS)
Уязвимое ПО: Операционная система Novell Inc. openSUSE Tumbleweed — | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Canonical Ltd. Ubuntu 16.04 ESM | Операционная система Debian GNU/Linux 11 | Операционная система Debian GNU/Linux 12 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.1 | Прикладное ПО информационных систем Red Hat Inc. Red Hat OpenShift Container Platform 4 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.2 | Операционная система Canonical Ltd. Ubuntu 22.04 LTS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9 | Сетевое средство, Сетевое программное средство Novell Inc. SUSE Manager Retail Branch Server 4.3 | Прикладное ПО информационных систем Novell Inc. SUSE Manager Proxy 4.3 | Прикладное ПО информационных систем Novell Inc. SUSE Manager Server 4.3 | Прикладное ПО информационных систем Novell Inc. SUSE Enterprise Storage 7.1 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.3 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP3-LTSS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP3-LTSS | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP5 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.4 | Операционная система Canonical Ltd. Ubuntu 18.04 ESM | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.5 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP4-ESPOS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP4-LTSS | Операционная система Fedora Project Fedora 40 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP4-LTSS | Операционная система Fedora Project Fedora 41 | Операционная система Novell Inc. Suse Linux Enterprise Desktop 15 SP6 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP6 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP6 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP6 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Basesystem 15 SP6 | Операционная система Canonical Ltd. Ubuntu 24.04 LTS | Операционная система Novell Inc. OpenSUSE Leap 15.6 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Desktop Applications 15 SP6 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP5-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP5 LTSS Extended Security | Операционная система Canonical Ltd. Ubuntu 24.10 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP5-LTSS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP5-LTSS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP5-ESPOS | Программное средство защиты OpenBSD Project OpenSSH от 6.8p1 до 9.9p1 включительно | Операционная система АО «НППКТ» ОСОН ОСнова Оnyx до 2.12 |

Возможные меры по устранению:
Использование рекомендаций:
Для OpenSSH:
https://www.openssh.com/releasenotes.html#9.9p2

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2025-26465

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2025-26465

Для Ubuntu:
https://ubuntu.com/security/CVE-2025-26465

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2025-26465.html

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ENK5YMPKXQSSNGJEVGYMVJ3T3PDA2HDE/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/STTU3AYQZPT4FUMERJH7RQ3KH3TMQDUI/

Обновление программного обеспечения openssh до версии 1:9.9p2-1osnova2u1

Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-openssh-CVE-2025-26465/?sphrase_id=811453

Для ОС Astra Linux:
обновить пакет openssh до 1:8.4p1-2~deb10u1astra6se14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:
обновить пакет openssh до 1:9.6p1-2~deb10u1astra8se8+ci3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Для ОС Astra Linux:
обновить пакет openssh до 1:8.4p1-2~deb10u1astra6se14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-26465.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://blog.qualys.com/vulnerabilities-threat-research/2025/02/18/qualys-tru-обнаруживает две уязвимости в openssh-cve-2025-26465-cve-2025-26466
https://bugzilla.redhat.com/show_bug.cgi?id=2344780
https://bugzilla.suse.com/show_bug.cgi?id=1237040
https://ftp.openbsd.org/pub/OpenBSD/patches/7.6/common/008_ssh.patch.sig
https://lists.mindrot.org/pipermail/openssh-unix-announce/2025-February/000161.html
https://seclists.org/oss-sec/2025/q1/144
https://www.openssh.com/releasenotes.html#9.9p2
https://www.openwall.com/lists/oss-security/2025/02/18/1
https://www.openwall.com/lists/oss-security/2025/02/18/4
https://www.theregister.com/2025/02/18/openssh_vulnerabilities_mitm_dos/
https://xakep.ru/2025/02/19/openssh-cves/
https://www.securitylab.ru/news/556556.php
https://github.com/rxerium/CVE-2025-26465
https://vuldb.com/?id.296123
https://security-tracker.debian.org/tracker/CVE-2025-26465
https://access.redhat.com/security/cve/CVE-2025-26465
https://ubuntu.com/security/CVE-2025-26465
https://www.suse.com/security/cve/CVE-2025-26465.html
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ENK5YMPKXQSSNGJEVGYMVJ3T3PDA2HDE/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/STTU3AYQZPT4FUMERJH7RQ3KH3TMQDUI/
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.12/
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-openssh-CVE-2025-26465/?sphrase_id=811453
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: