Proponha uma correção, faça uma sugestão
Qualys descobre duas vulnerabilidades no OpenSSH
A Qualys, Inc., líder em soluções inovadoras baseadas na cloud para segurança e conformidade de TI, partilhou a descoberta de duas novas vulnerabilidades no OpenSSH. O OpenSSH é uma implementação de código aberto do protocolo SSH, que permite comunicações cifradas numa rede insegura.
OpenSSH: há 2 versões afetadas
Detetada pela Threat Research Unit (TRU) da Qualys, a primeira destas vulnerabilidades (CVE-2025-26465) permite ataques ativos Man-in-the-Middle contra clientes do OpenSSH, enquanto a segunda (CVE-2025-26466) afeta tanto os clientes como os servidores, permitindo ataques de negação de serviço (DDoS).
Os ataques através da vulnerabilidade CVE-2025-26465, viáveis quando a opção VerifyHostKeyDNS está ativada, não requerem a interação do utilizador e não dependem da existência de um registo de recursos no DNS. Esta vulnerabilidade foi descoberta no final de 2014, pouco antes do lançamento da versão 6.8 do OpenSSH. Embora o VerifyHostKeyDNS esteja desativado por predefinição nas versões atuais, foi ativado em versões anteriores de 2013 até março de 2023.
Por outro lado, a falha CVE-2025-26466 afeta tanto clientes como servidores, possibilitando a execução de ataques DDoS sem necessidade de autenticação. Foi detetada pela primeira vez em agosto de 2023, pouco tempo antes do lançamento do OpenSSH 9.5.
Para garantir a segurança contínua, os investigadores da Qualys recomendam a atualização imediata dos sistemas afetados para a nova versão 9.9 do OpenSSH, uma vez que esta corrige as vulnerabilidades acima mencionadas e também oferece novas funcionalidades avançadas.
Versões do OpenSSH afetadas:
- O CVE-2025-26465, introduzido em 2014, afeta as versões 6.8 e 9.9
- O CVE-2025-26466, introduzido em 2023, afeta as versões 9.5 a 9.9
Loading ...
Para quem chega aqui a pensar que isto é um problema, não é.
CVE-2025-26465 e CVE-2025-26466, o primeiro muito difícil de implementar com uma rede comprometida, e o segundo é um potencial DoS. Pontuação média e ambos já corrigidos.
Portanto: alguém corrigiu dois “não-problema”, é isso?
Dois problemas não graves
Veio da qualys, querias CVEs sev 9? Lol
“Esta vulnerabilidade foi descoberta no final de 2014”:
A vulnerabilidade não foi descoberta em 2014 (se não já teria sido, certamente, corrigida), mas foi introduzida no código que veio a ser distribuído a partir desta altura. É um preciosismo de linguagem, mas é uma distinção importante.