Una vulnerabilidad crítica identificada como CVE-2026-55200 en la librería libssh2, ampliamente utilizada, ahora cuenta con un Proof-of-Concept (PoC) público. Esta falla permite que un servidor SSH malicioso o comprometido active la corrupción de memoria en un cliente que se conecta, con la posibilidad de ejecución de código. Lo preocupante es que este ataque no requiere credenciales ni interacción del usuario, afectando a todas las versiones de libssh2 hasta la 1.11.1 inclusive.
El fallo reside en la función ssh2_transport_read() en transport.c, encargada de analizar los paquetes SSH entrantes durante el handshake inicial. La vulnerabilidad es un desbordamiento de entero a desbordamiento de búfer (CWE-680): un atacante puede controlar el campo packet_length para que, tras un cálculo, se asigne un búfer de tamaño muy pequeño, mientras que el paquete real es mucho más grande, provocando una escritura fuera de los límites de la memoria heap. libssh2 es una librería cliente, no un servidor, y está incrustada en una vasta gama de aplicaciones y sistemas como curl, Git, PHP, agentes de respaldo y actualizaciones de firmware. Muchas de estas copias están vinculadas estáticamente, lo que significa que las actualizaciones del sistema operativo o del gestor de paquetes no las corregirán automáticamente, dificultando su identificación y parcheo.
Hasta la fecha, no se ha lanzado una versión oficial de libssh2 que incluya el parche. Sin embargo, la corrección (commit 97acf3d) ya está en el código fuente principal y las distribuciones de Linux, como Debian, están aplicando backports (adaptaciones del parche a versiones anteriores del software). Es crucial que las organizaciones realicen un inventario exhaustivo de todo lo que utiliza libssh2, prestando especial atención a las copias estáticas o integradas. Se recomienda aplicar el parche tan pronto como esté disponible por parte de los proveedores. Mientras tanto, se debe restringir las conexiones SSH salientes únicamente a servidores de confianza, verificar las claves de host y monitorear cualquier anomalía como paquetes de tamaño excesivo o cierres inesperados de clientes. También es importante abordar otras vulnerabilidades relacionadas, como CVE-2026-55199 y CVE-2025-15661.
Qué significa para tu empresa: La propagación de esta librería en innumerables aplicaciones y dispositivos, a menudo de forma oculta o estática, representa un desafío significativo para la gestión de vulnerabilidades. Identificar todas las instancias vulnerables y asegurar su parcheo requiere una visibilidad profunda de la infraestructura y un monitoreo constante. Contar con un SOC con monitoreo 24/7 es fundamental para detectar actividad anómala, intentos de explotación o impactos inesperados en los sistemas cliente que utilizan libssh2, permitiendo una respuesta rápida ante posibles incidentes.
Fuente original: The Hacker News — ver artículo →