Cảnh báo lỗ hổng nghiêm trọng CVE-2026-55200 trong thư viện libssh2: Đã xuất hiện mã khai thác PoC

Một mã khai thác proof-of-concept (PoC) đã được công bố cho CVE-2026-55200, một lỗ hổng bảo mật nghiêm trọng nằm trong thư viện libssh2. Lỗ hổng này cho phép một server SSH độc hại hoặc bị chiếm quyền điều khiển kích hoạt tình trạng hỏng bộ nhớ (memory corruption) trên client đang kết nối, từ đó có khả năng dẫn đến thực thi mã từ xa (RCE) mà không cần xác thực hay tương tác từ người dùng.

Mức độ ảnh hưởng rộng khắp

Với điểm CVSS 4.0 lên tới 9.2, lỗ hổng này ảnh hưởng đến tất cả các phiên bản libssh2 từ 1.11.1 trở về trước. Cần lưu ý rằng libssh2 là thư viện client-side, được tích hợp sâu trong nhiều phần mềm phổ biến như curl, Git, PHP, các tác vụ sao lưu và firmware của nhiều thiết bị. Do nhiều ứng dụng sử dụng cơ chế liên kết tĩnh (statically linked), các bản cập nhật từ hệ điều hành thông thường sẽ không thể vá lỗi, khiến việc xác định các phiên bản bị ảnh hưởng trở nên khó khăn.

Chi tiết kỹ thuật

Lỗ hổng nằm trong hàm ssh2_transport_read() khi phân tích các gói tin SSH trong quá trình bắt tay (handshake). Do thiếu cơ chế kiểm soát giới hạn trên (upper bound) đối với trường packet_length, kết hợp với lỗi tràn số nguyên (integer overflow) trong tính toán kích thước, libssh2 đã cấp phát bộ nhớ không chính xác. Điều này dẫn đến lỗi ghi đè bộ nhớ ngoài phạm vi (out-of-bounds heap write), hay còn gọi là CWE-680, tạo điều kiện cho kẻ tấn công thực thi mã độc.

Các nhà phát triển đã tung ra bản vá bằng cách thêm kiểm tra LIBSSH2_PACKET_MAXPAYLOAD trước khi thực hiện tính toán kích thước gói tin.

Khuyến nghị hành động

Hiện tại, chưa có bản phát hành chính thức (tagged release) chứa bản vá, tuy nhiên các bản sửa lỗi đã được đưa vào mã nguồn chính. Người dùng và quản trị viên hệ thống cần thực hiện các bước sau:

Kiểm kê phần mềm: Rà soát tất cả các ứng dụng có sử dụng libssh2, đặc biệt là các bản sao được đóng gói tĩnh hoặc đi kèm trong phần mềm bên thứ ba.
Cập nhật bản vá: Theo dõi các bản cập nhật từ nhà cung cấp hoặc các bản backport từ các bản phân phối Linux (như Debian). Ưu tiên áp dụng commit 97acf3d.
Giới hạn kết nối: Trong thời gian chờ đợi bản vá chính thức, hãy hạn chế các kết nối SSH đi ra ngoài tới các server không tin cậy.
Giám sát: Theo dõi các dấu hiệu bất thường như gói tin có kích thước quá lớn hoặc các ứng dụng client bị crash đột ngột.

Ngoài CVE-2026-55200, người dùng cũng nên lưu ý cập nhật để khắc phục các lỗ hổng khác trong cùng đợt này, bao gồm CVE-2026-55199 (từ chối dịch vụ) và CVE-2025-15661 (lỗi heap over-read trong SFTP).

Nguồn tham khảo: The Hacker News