Auf den Punkt: Die Schwachstellen CVE-2026-55200 (CVSS 9,2) und CVE-2026-55199 (CVSS 8,2) in libssh2 1.11.1 und älteren Versionen erfordern sofortige Patches, sind aber noch nicht in offiziellen Releases verfügbar.
In der SSH-Bibliothek libssh2 wurden zwei kritische Lücken entdeckt, die Millionen Systeme weltweit betreffen: Eine ermöglicht entfernte Codeausführung, die andere führt zu CPU-Erschöpfung. Beide Fehler lassen sich vor oder ohne Authentifizierung ausnutzen.
In der weit verbreiteten SSH-Bibliothek libssh2 wurden zwei kritische Schwachstellen identifiziert. Die schwerwiegendere wird als CVE-2026-55200 mit CVSS-Basiswert 9,2 eingestuft und betrifft einen Pufferlauf beim Schreiben. Das Problem liegt darin, dass libssh2 ein internes Limit für die Größe empfangener SSH-Datenpakete definiert, dieses aber nicht konsequent durchsetzt. Angreifer können manipulierte Pakete mit übermäßig großen packet_length-Werten versenden, um den Heap-Speicher zu korrumpieren und damit entfernte Codeausführung zu erreichen. Für den Angriff sind weder Privilegien noch Benutzerinteraktion erforderlich.
Die zweite Schwachstelle CVE-2026-55199 (CVSS 8,2) ist eine Denial-of-Service-Lücke, die Client-Systeme beim Verbindungsaufbau zu böswilligen oder kompromittierten SSH-Servern gefährdet. Sie wird vor der Authentifizierung ausgelöst: Der Server deklariert während des Schlüsselaustauschs eine unplausibel hohe Anzahl unterstützter Erweiterungen, was den Client in eine rechenintensive Schleife treibt und die CPU für über 60 Sekunden vollständig auslastet.
Betroffen sind libssh2 1.11.1 und alle älteren Versionen. Da libssh2 eine fundamentale Komponente für curl ist und die SSH-Protokolle SCP und SFTP unterstützt, ist die Bibliothek in den Paketquellen fast aller großen Linux-Distributionen enthalten. Sie wird zudem in Backup-Systemen, Dateiübertragungssoftware sowie in selten aktualisierten Netzwerk- und IoT-Geräten verwendet.
Die Fehler sind im Quellcode via GitHub bereits durch separate Commits behoben worden. Eine neue offizielle Release der Bibliothek steht aber noch nicht zur Verfügung. Linux-Distribution-Maintainer müssen die Korrektionen derzeit manuell in ihre Pakete integrieren. CISOs sollten umgehend ihre Infrastruktur auf libssh2-Abhängigkeiten überprüfen und gepatchte Versionen oder manuelle Fixes priorisieren, sobald diese durch ihre Distribution verfügbar sind.
Quelle: www.it-daily.net · Erschienen 22. Juni 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.1.