Actualización crítica de OpenSSH para prevenir ataques MitM y DoS

OpenSSH ha corregido las vulnerabilidades CVE-2025-26465 y CVE-2025-26466, que permitían ataques MitM y DoS. Se recomienda actualizar a la versión 9.9p2 de inmediato.

OpenSSH es una solución de código abierto basada en el protocolo Secure Shell (SSH), diseñada para proporcionar conexiones seguras a través de redes potencialmente inseguras. Su uso es común en servidores y entornos empresariales, donde facilita el acceso remoto y la transferencia de datos con cifrado. Recientemente, el equipo de investigación de amenazas de Qualys ha descubierto dos vulnerabilidades significativas en OpenSSH que podrían poner en riesgo la seguridad de clientes y servidores [2].

Detalles de la vulnerabilidad

• CVE-2025-26465 (CVSS 6.8): esta vulnerabilidad permite ataques de tipo «man-in-the-middle» (MitM) en clientes OpenSSH cuando la opción VerifyHostKeyDNS está habilitada. Aunque esta opción está desactivada por defecto, su activación en ciertas configuraciones, como en FreeBSD, amplía la superficie de ataque. El problema se debe a una gestión incorrecta de los códigos de error por parte de OpenSSH en condiciones específicas al verificar la clave del host. Para que un ataque sea exitoso, el atacante debe agotar primero los recursos de memoria del cliente, lo que aumenta la complejidad del ataque [3] [1].
• CVE-2025-26466 (CVSS 5.9): esta vulnerabilidad afecta tanto a clientes como a servidores OpenSSH, permitiendo un ataque de denegación de servicio (DoS) previo a la autenticación. Los atacantes pueden explotar esta falla para consumir excesivamente recursos del sistema, afectando la memoria y la CPU. Este tipo de ataque puede bloquear servidores SSH, impidiendo el acceso de usuarios y administradores legítimos. Aunque OpenSSH cuenta con estrategias de mitigación como LoginGraceTime, MaxStartups y PerSourcePenalties, estas deben estar correctamente configuradas para minimizar el riesgo [3] [1].​

Productos y versiones afectadas

• CVE-2025-26465: OpenSSH versiones desde la 6.8p1 hasta la 9.9p1.​
• CVE-2025-26466: OpenSSH versiones desde la 9.5p1 hasta la 9.9p1.​

Solución

Actualizar OpenSSH a la versión 9.9p2 o posterior

Recomendaciones

Implementar sistemas de monitoreo para detectar actividades inusuales en la red, especialmente intentos de explotación de estas vulnerabilidades.e cambios en la configuración de privilegios y conexiones a dispositivos FortiGate ascendentes no autorizados.

Actualizar OpenSSH a la versión 9.9p2 o posterior, que aborda estas vulnerabilidades.

Evaluar la configuración de VerifyHostKeyDNS y deshabilitarla si no es necesaria.

Implementar límites de conexión y tiempos de gracia en servidores OpenSSH para reducir el impacto de ataques de denegación de servicio.

Referencia:

[1] Do Son, «OpenSSH Flaws CVE-2025-26465 & CVE-2025-26466 Expose Clients and Servers to Attacks,» Cybersecurity News, 18 Febrero 2025. [En línea]. Available: https://securityonline.info/openssh-flaws-cve-2025-26465-cve-2025-26466-expose-clients-and-servers-to-attacks/.
[2] Ravie Lakshmanan, «New OpenSSH Flaws Enable Man-in-the-Middle and DoS Attacks — Patch Now,» The Hacker News, 18 Febrero 2025. [En línea]. Available: https://thehackernews.com/2025/02/new-openssh-flaws-enable-man-in-middle.html.
[3] Saeed Abbasi, «Qualys TRU Discovers Two Vulnerabilities in OpenSSH: CVE-2025-26465 & CVE-2025-26466,» Qualys, 18 Febrero 2025. [En línea]. Available: https://blog.qualys.com/vulnerabilities-threat-research/2025/02/18/qualys-tru-discovers-two-vulnerabilities-in-openssh-cve-2025-26465-cve-2025-26466.