CVE-2025-26466
CVE-2025-26466: отказ в обслуживании OpenSSH до аутентификации
Проверьте OpenSSH sshd 9.5p1–9.9p1: удалённый клиент до аутентификации может отправлять SSH2_MSG_PING и расходовать память и процессор сервера. Исправление upstream — 9.9p2; до обновления используйте лимиты соединений OpenSSH и обновите пакет.
Кому нужно проверить
Администраторам SSH-серверов и Linux-систем, доступных из недоверенных сетей, в том числе пограничных и инфраструктурных узлов. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Неаутентифицированный сетевой клиент может увеличивать потребление CPU и памяти sshd до недоступности службы. Это может лишить легитимных пользователей доступа к серверу; advisory не описывает выполнение кода или обход аутентификации.
Затронутые версии
По advisory OpenSSH затронут sshd(8) в OpenSSH 9.5p1–9.9p1 включительно. Атака выполняется до аутентификации посредством SSH2_MSG_PING; сервер накапливает PONG и расходует память/CPU. Дистрибутивы могут переносить исправление в свои пакеты, поэтому сверяйте их security advisory.
Исправленные версии
Исправлено в upstream OpenSSH 9.9p2. Установите исправленный пакет дистрибутива или обновите поддерживаемую сборку OpenSSH. Обновление предпочтительнее временного изменения лимитов; PerSourcePenalties доступна в upstream с 9.8p1 и требует проверки поддержки в конкретном пакете ОС.
Что сделать
- 1Проверьте версию сервера и пакет ОС, затем сопоставьте их с advisory поставщика. Учитывайте backport исправления: старый номер upstream не всегда означает уязвимость пакета.
- 2Установите обновление с исправлением CVE-2025-26466; upstream исправление выпущено в OpenSSH 9.9p2. Перед перезапуском сохраните рабочий доступ через консоль или альтернативную административную сессию.
- 3До обновления проверьте LoginGraceTime и MaxStartups в эффективной конфигурации sshd. Используйте PerSourcePenalties только если ваша версия её поддерживает и политика доступа позволяет; учитывайте NAT и общие адреса, чтобы не блокировать легитимных пользователей.
- 4Не устанавливайте агрессивные лимиты вслепую: сначала оцените штатные пики SSH-подключений, балансировщики и адреса администраторов, а затем проверьте воздействие настроек на тестовой или малонагруженной группе.
- 5Проверьте конфигурацию, перезапустите службу по процедуре ОС и подтвердите удалённый вход. Следите за памятью, CPU, журналами sshd, отклонёнными соединениями и доступностью после выкладки.
Путь снижения риска
Статичная схема для администратора; тот же порядок действий полностью представлен в текстовом списке.
- 1Проверьте upstream-версию и пакетный advisory
- 2Оцените текущие пределы предварительных соединений
- 3Установите исправленный пакет OpenSSH
- 4Проверьте конфигурацию и сохраните административный доступ
- 5Наблюдайте за доступностью, ресурсами и журналами
Примеры конфигурации и проверки
sudo sshd -T | grep -E '^(logingracetime|maxstartups|persourcepenalties) 'Диагностическая команда только читает эффективные значения sshd и не меняет конфигурацию. Запускайте на сервере с установленным OpenSSH; учитывайте Match-правила и параметры запуска службы. Если ключ PerSourcePenalties отсутствует, текущая сборка может не поддерживать эту директиву.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.