Aviso sobre amenazas de ciberseguridad:

28 de febrero de 2025

OpenSHH nuevas vulnerabilidades

Dos vulnerabilidades de OpenSSH, CVE-2025-26465 y CVE-2025-26466, afectan varias versiones de OpenSSH. Estas vulnerabilidades pueden explotarse para realizar ataques de intermediario (MitM) o provocar un ataque de denegación de servicios (DoS).

¿Cuál es la amenaza?

OpenSSH es una implementacion de codigo abierto del protocolo Secure Shell (SSH) 2.0, que se utiliza para el acceso remoto, la gestión de servidores y la transferencia de archivos. CVE-2025-26465 afecta al cliente OpenSSH cuando la opción VerifyHostKeyDNS está habilitada. Por otro lado, CVE-2025-26466 puede explotarse independiente de la opción VerifyHostKeyDNS que se utilice. La explotación puede ocurrir sin interacción del usuario, incluso si no existe un registro de huellas digitales de Secure Shell (SSHFP)

¿Por qué es digno de mención?

Millones de servidores están potencialmente en riesgo por estas dos vulnerabilidades. Si se explotan con éxito, los atacantes pueden interceptar o manipular los datos transferidos a usuarios inesperados. Según Shodan, alrededor de 33 millones de servidores expuestos a internet utilizan OpenSSH. Estas vulnerabilidades afectan tanto al cliente como al servidor, lo que permite a los atacantes explotarlas sin autenticación y lanzar ataques DoS consumiendo recursos de memoria y CPU de forma asimétrica.

¿Cuál es el riesgo?

De forma predeterminada, la opción VerifyHostKeyDNS está deshabilitada. Sin embargo, si un atacante realiza un ataque MitM, el cliente puede aceptar la clave del atacante en lugar de la clave del servidor legítimo. Esto compromete la integridad de la conexión SSH, lo que permite una posible intercepción o manipulación de la sesión antes de que se detecte.

Recomendaciones

Se recomienda realizar algunas de las siguientes acciones para mitigar el impacto:

Actualice OpenSSH a la versión 9.9p2 lo antes posible.
Utilice cifrado de datos para evitar que los atacantes aprovechan los datos de inmediato.
Mantenga actualizado el software de detección de malware
Adopte redundancia para garantizar la disponibilidad del servicio incluso si falla un componente.