Un solo pacchetto per mandarli tutti in crash: una falla di OpenSSH espone i server Linux a blocchi furtivi

Immagina un mondo in cui un attaccante remoto, con nient’altro che un pacchetto di rete creato ad hoc, possa mettere fuori uso all’istante le connessioni sicure sui tuoi server Linux-niente password, nessun accesso, solo un exploit lanciato al momento giusto. Non è la trama di un cyber-thriller, ma la dura realtà che incombe su migliaia di sistemi che eseguono OpenSSH con lo scambio di chiavi GSSAPI abilitato. La CVE-2026-3497, appena scoperta, è un gelido promemoria: anche i pilastri della sicurezza più fidati possono nascondere falle catastrofiche.

La falla, scoperta dal ricercatore di sicurezza Jeremy Brown e divulgata da Marc Deslauriers di Canonical, si annida in profondità nella logica di gestione degli errori del ciclo server di GSSAPI Key Exchange (KEX) di OpenSSH. La causa principale? Una svista di programmazione sottile ma devastante: il codice richiama per errore una funzione di disconnessione che non termina il processo (sshpkt_disconnect()) invece della corretta ssh_packet_disconnect(), che uccide il processo, in tre punti chiave. Questo passo falso innesca un effetto domino: invece di chiudersi in modo sicuro, il server finisce per leggere una variabile di stack non inizializzata, recv_tok, e invia i suoi contenuti imprevedibili al processo monitor privilegiato root.

Le implicazioni tecniche sono gravi. Non solo l’exploit garantisce un crash affidabile al 100%-tipicamente un fault di segmentazione della memoria o un abort su sistemi x86_64-ma apre anche un confine di separazione dei privilegi, inviando fino a 127KB di dati heap potenzialmente sensibili tra processi. Gli attaccanti non devono nemmeno autenticarsi; un singolo pacchetto da 300 byte è sufficiente per attivare il bug, causando un blocco forzato di 90 secondi per gli utenti legittimi mentre il processo figlio SSH muore.

La vulnerabilità colpisce prevalentemente i server Ubuntu e Debian, dove la patch per GSSAPI Key Exchange è presente di default. Se la funzionalità GSSAPIKeyExchange è abilitata nella configurazione SSH di un server, il sistema è esposto. Il rischio non è solo teorico: i dati residui di stack trasmessi durante un attacco possono variare in base a compilatore e impostazioni di build, ma comportano sempre la possibilità di far trapelare segreti.

Fortunatamente, la correzione è semplice. I manutentori di Canonical hanno rilasciato patch che sostituiscono le chiamate di funzione errate nel file sorgente kexgsss.c. Gli amministratori di sistema sono invitati ad aggiornare immediatamente i pacchetti OpenSSH. Per chi non può applicare subito la patch, disabilitare GSSAPIKeyExchange nella configurazione del demone SSH offre un efficace rimedio temporaneo.

Come dimostra questo incidente, anche il software open-source sottoposto alle verifiche più rigorose può nascondere bug critici e trascurati. Per chi difende, la lezione è chiara: vigilanza, patch tempestive e il principio del minimo privilegio restano i migliori scudi contro un panorama di minacce in continua evoluzione.

WIKICROOK

• OpenSSH: OpenSSH è un popolare strumento open-source che cifra le connessioni remote, consentendo amministrazione di sistema e trasferimenti di file sicuri attraverso le reti.
• GSSAPI: GSSAPI è un’interfaccia standard per l’autenticazione sicura e lo scambio di dati tra applicazioni, astratta dai dettagli di protocollo per semplificare l’integrazione nella cybersecurity.
• Denial: In cybersecurity, denial significa rendere sistemi o servizi non disponibili agli utenti, spesso tramite attacchi come il Denial-of-Service (DoS) che li inondano di traffico.
• Privilege Separation: La separazione dei privilegi isola i componenti di sistema in base al livello di privilegio, riducendo l’impatto degli attacchi e impedendo accessi non autorizzati a risorse sensibili.
• Heap: L’heap è una regione di memoria per l’allocazione dinamica, spesso presa di mira negli attacchi informatici a causa di una gestione impropria della memoria o di vulnerabilità.