نظرة عامة

ملخص الثغرة

CVE-2026-55200 هي ثغرة حرجة في تلف الذاكرة تؤثر على مكتبة libssh2 المستخدمة على نطاق واسع.

الخلل موجود في منطق معالجة الحزم لطبقة النقل في SSH داخل:

ssh2_transport_read()

تفشل الدالة في التحقق بشكل صحيح من الحقل الوارد:

packet_length

قبل تخصيص ومعالجة بيانات الحزمة.

يمكن لمهاجم عن بُعد إرسال حزمة SSH مصممة خصيصًا تحتوي على قيمة طول مفرطة الحجم، مما يسبب:

• تلف الكومة (Heap)
• كتابة خارج الحدود
• انهيار العملية
• احتمال تنفيذ الأوامر عن بُعد

نظرًا لأن الثغرة تُستغل أثناء معالجة حزم طبقة النقل في SSH، فقد يحدث الاستغلال قبل المصادقة، مما يزيد بشكل كبير من خطورة المشكلة.

السبب الجذري التقني

تدفق مبسط للثغرة:

packet_length = read_packet_length();

buffer = malloc(packet_length);

memcpy(buffer, incoming_data, packet_length);

إذا كانت قيمة packet_length يتحكم بها المهاجم وتتجاوز الحدود المتوقعة:

1. قد يحدث تخصيص غير صالح للذاكرة.
2. يتم نسخ بيانات زائدة إلى الذاكرة.
3. تتلف بنى الكومة المجاورة.
4. تنهار العملية أو يصبح تنفيذ تعليمات برمجية عشوائية ممكنًا.

⚔️ تدفق الهجوم

Attacker
    │
    ▼
Crafted SSH Packet
    │
    ▼
Oversized packet_length
    │
    ▼
Heap Corruption
    │
 ┌──┴──┐
 ▼     ▼
DoS   Potential RCE

💥 التأثير

السرية

• احتمال كشف الذاكرة
• تعرض ذاكرة حساسة للعملية

النزاهة

• تلف الكومة
• احتمال تنفيذ تعليمات برمجية عشوائية

التوافر

• انهيار التطبيقات
• رفض الخدمة
• انقطاع الخدمة

🎯 البرمجيات المتأثرة

التطبيقات التي يحتمل أن تتأثر

أي تطبيق يضم مكتبة libssh2 قد يكون عرضة للثغرة، بما في ذلك:

• برامج النسخ الاحتياطي
• تطبيقات نقل الملفات
• عملاء SSH
• أطر الأتمتة
• منصات CI/CD
• أدوات تنسيق البنية التحتية
• الأجهزة الشبكية
• أنظمة لينكس المدمجة
• أجهزة إنترنت الأشياء

ملاحظة: لا يستخدم OpenSSH نفسه مكتبة libssh2 ولا يتأثر بها مباشرة.

شروط الاستغلال

🔍 الكشف

يجب على فرق الأمن مراقبة:

• أخطاء تجزئة غير متوقعة
• أحداث تلف الكومة
• محاولات اتصال SSH غير طبيعية
• انهيارات التطبيقات
• ملفات التفريغ الأساسية (Core dumps) المتعلقة بالدالة ssh2_transport_read()
• أخطاء تحليل الحزم في السجلات

التحقق من الإصدار المثبت

Linux

pkg-config --modversion libssh2

Debian / Ubuntu

dpkg -l | grep libssh2
apt-cache policy libssh2-1

RHEL / AlmaLinux / Rocky Linux

rpm -qa | grep libssh2
dnf info libssh2

Alpine Linux

apk info | grep libssh2

العثور على التطبيقات التي تستخدم libssh2

ldconfig -p | grep libssh2

find /usr -type f -executable -exec ldd {} \; 2>/dev/null | grep libssh2

🛡️ التخفيف

الخيار 1 - الترقية فورًا (موصى به)

قم بالترقية إلى إصدار يحتوي على الالتزام:

97acf3dfda80c91c3a8c9f2372546301d4a1a7a8

Ubuntu / Debian

sudo apt update
sudo apt upgrade libssh2-1
sudo reboot

RHEL / AlmaLinux / Rocky Linux

sudo dnf update libssh2
sudo reboot

Fedora

sudo dnf upgrade --refresh libssh2
sudo reboot

Alpine Linux

apk update
apk upgrade libssh2

الخيار 2 - تقييد التعرض لـ SSH

حتى تتوفر التصحيحات:

UFW

sudo ufw allow from TRUSTED_IP to any port 22
sudo ufw deny 22

iptables

iptables -A INPUT -p tcp --dport 22 -s TRUSTED_IP -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

firewalld

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="TRUSTED_IP" port protocol="tcp" port="22" accept'
firewall-cmd --reload

الخيار 3 - تحصين التطبيقات

قم بتجميع التطبيقات باستخدام:

-fstack-protector-strong
-D_FORTIFY_SOURCE=2
-fPIE
-pie
-Wl,-z,relro,-z,now

فعّل:

✓ ASLR
✓ حراس المكدس (Stack Canaries)
✓ RELRO
✓ NX
✓ PIE
✓ أحدث التصحيحات الأمنية

الخيار 4 - عزل الحاويات

لأحمال العمل غير الموثوقة:

docker run \
  --read-only \
  --cap-drop=ALL \
  --security-opt no-new-privileges

توصيات إضافية:

• ملفات تعريف seccomp
• سياسات AppArmor
• تطبيق SELinux
• عزل مساحات الأسماء

الخيار 5 - المراقبة والكشف

انشر:

• توقيعات أنظمة كشف التسلل (IDS)
• مراقبة بيانات القياس عن بُعد الخاصة بـ SSH
• تنبيهات SIEM
• مراقبة الانهيارات
• كشف الشذوذ في الشبكة
• كشف الشذوذ في أحجام الحزم

📊 تقييم المخاطر

الجدول الزمني للإفصاح

المراجع

الأسئلة الشائعة

هل OpenSSH متأثر؟

لا. لا يستخدم OpenSSH مكتبة libssh2 داخليًا.

هل هذه الثغرة قبل المصادقة؟

نعم. يمكن تشغيل الثغرة قبل المصادقة.

يعتمد الاستغلال الناجح على:

• تخطيط الكومة
• إجراءات التخفيف في المُصرّف
• سياق التطبيق
• آليات حماية الذاكرة

ومع ذلك، تُعتبر ثغرات تلف الذاكرة من هذا النوع خطيرة للغاية من الناحية التاريخية.

هل لوحظ استغلال للثغرة في البرية؟

في وقت النشر، لا توجد تقارير مؤكدة علنًا عن استغلال نشط للثغرة.

إخلاء المسؤولية

هذا المستودع مخصص لأغراض الأمن التعليمية والدفاعية فقط.

لا تستخدم أي معلومات أو تعليمات برمجية من هذا المستودع على أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها.