CVE-2026-59851

libssh: brak autoryzacji użytkownika w ścieżce GSSAPI Key Exchange

CVSS 8.8v3.1pub. 2026-07-21upd. 2026-08-17

W bibliotece libssh wykryto lukę umożliwiającą uwierzytelnionemu klientowi zalogowanie się jako dowolny lokalny użytkownik na serwerze. Problem dotyczy konfiguracji z włączoną opcją GSSAPIKeyExchange i wynika z pominięcia weryfikacji autoryzacji principal Kerberos.

▸ Pokaż oryginał (EN)

A flaw was found in libssh. On servers with GSSAPIKeyExchange enabled, the gssapi-keyex path does not verify whether the authenticated Kerberos principal is authorized for the requested local user, allowing authenticated clients to log in as arbitrary users.

🤖 Analiza AI

Jak działa

Gdy serwer libssh ma włączoną opcję GSSAPIKeyExchange, ścieżka uwierzytelniania gssapi-keyex poprawnie weryfikuje tożsamość klienta w kontekście Kerberos (uwierzytelnia principal), jednak nie sprawdza, czy dany principal Kerberos jest uprawniony do zalogowania się na żądane konto lokalnego użytkownika systemu. Oznacza to, że każdy klient posiadający ważny bilet Kerberos może wskazać dowolną nazwę lokalnego użytkownika i uzyskać dostęp do jego konta. Jest to naruszenie zasad kontroli dostępu (CWE-863 — Incorrect Authorization).

Skutki

Atakujący posiadający ważne uwierzytelnienie Kerberos może zalogować się jako dowolny lokalny użytkownik systemu, w tym root, uzyskując pełny dostęp do danych, możliwość modyfikacji konfiguracji oraz eskalacji uprawnień.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (Red Hat: RHSA-2026:42922). Do czasu wdrożenia patcha zaleca się wyłączenie opcji GSSAPIKeyExchange na serwerach libssh, jeśli nie jest bezwzględnie wymagana.

Kogo dotyczy

libssh z włączoną opcją GSSAPIKeyExchange; produkty oparte na tej bibliotece: Libssh, Red Hat Hardened Images, Red Hat Enterprise Linux — konkretne wersje wskazane w referencjach producenta