CVE-2025-15661: Fejl i libssh2 ved SFTP-forbindelser
Fejl i biblioteket libssh2 kan lade en ondsindet SFTP-server crashe klienter eller læse hukommelse. Opdatér libssh2 til rettet version.
Hvad er det?
CVE-2025-15661 er en sårbarhed i libssh2, et udbredt bibliotek som mange programmer bruger til at oprette SSH- og SFTP-forbindelser (en krypteret metode til fjernadgang og filoverførsel). Fejlen ligger i funktionen sftp_symlink(), der behandler svar fra SFTP-kommandoerne READLINK og REALPATH. En ondsindet eller kompromitteret SSH-server, eller en angriber der sidder mellem klient og server (man-in-the-middle), kan sende et forfalsket svar med en for stor længdeangivelse. Det får programmet til at læse ud over den tildelte hukommelsesblok, kaldet et heap buffer over-read. Resultatet kan være et programnedbrud eller lækage af hukommelsesindhold. Fejlen er rettet i libssh2 med commit 2dae302, efter version 1.11.1.
Hvem rammer det?
Det rammer alle systemer og programmer, der bruger libssh2 i version 1.11.1 eller ældre til SFTP-klientfunktioner. Det omfatter mange Linux- og BSD-distributioner, programmer som curl, git og visse PHP-udvidelser, samt netværksudstyr og backup- eller integrationsværktøjer, der henter eller sender filer over SFTP. Danske virksomheder rammes typisk indirekte, gennem software eller udstyr fra leverandører, der bruger libssh2 under motorhjelmen.
Hvad kan ske?
Hvis en virksomheds system opretter SFTP-forbindelse til en server, der er kompromitteret eller kontrolleret af en angriber, kan angriberen få klientprogrammet til at gå ned. Det kan afbryde automatiserede processer som backup, filudveksling med samarbejdspartnere eller CI/CD-pipelines. I nogle tilfælde kan angriberen også få adgang til begrænsede mængder hukommelsesindhold fra klientprocessen, hvilket i teorien kan indeholde følsomme data som dele af sessionsdata.
Hvor alvorligt er det?
CVSS-scoren er 6,5 ud af 10, vurderet som moderat. Sårbarheden kræver ingen login eller brugerhandling, men angrebskompleksiteten er høj: angriberen skal enten drive en ondsindet SFTP-server, som klienten frivilligt forbinder til, eller sidde i en man-in-the-middle-position mellem klient og server. Konsekvensen er hovedsageligt nedbrud af klientprogrammet, mens risikoen for datalæk er lav. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Prioritér opdatering af libssh2 og de programmer, der bruger det.
- Opdatér libssh2 til en version, der indeholder rettelsen fra commit 2dae302, eller vent på en officiel udgivelse fra jeres Linux-distribution eller softwareleverandør.
- Kortlæg hvilke interne systemer og programmer, der bruger libssh2 indirekte, for eksempel curl, git eller specifikke backup- og integrationsværktøjer.
- Begræns hvilke SFTP- og SSH-servere jeres systemer forbinder til, og undgå forbindelser til ukendte eller utestede servere.
- Hold øje med uventede nedbrud i processer, der bruger SFTP, da det kan være et tegn på forsøg på udnyttelse.
- Kontakt jeres softwareleverandør eller it-driftspartner, hvis I er usikre på, om jeres systemer bruger libssh2, eller hvis en opdatering ikke er tilgængelig endnu.
Opdatér ved næste vedligeholdelsesvindue
Vi anbefaler, at I identificerer, hvilke af jeres systemer der bruger libssh2, og opdaterer dem til en rettet version, når leverandørens opdatering er tilgængelig. Da udnyttelse kræver en ondsindet server eller en man-in-the-middle-position, og der ikke er kendt aktiv udnyttelse, er det acceptabelt at vente til næste planlagte vedligeholdelsesvindue frem for en akut opdatering. Er jeres systemer afhængige af SFTP-forbindelser til eksterne parter, bør I dog prioritere opdateringen højere.
Tidslinje
Konkrete eksempler
Automatiseret filudveksling med ekstern samarbejdspartner
En dansk SMV bruger et natligt script, der henter filer via SFTP fra en samarbejdspartners server ved brug af et program bygget på libssh2. Bliver samarbejdspartnerens server kompromitteret, kan angriberen få scriptet til at gå ned hver nat, hvilket stopper den automatiske dataoverførsel og kræver manuel indgriben, indtil libssh2 opdateres.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres systemer, programmer eller netværksudstyr bruger libssh2 i version 1.11.1 eller ældre til at oprette SFTP-forbindelser. Tjek med jeres softwareleverandører eller kør en versionskontrol på interne værktøjer, der bruger SSH eller SFTP.
Hvordan tjekker vi, om vi bruger libssh2?
Undersøg om jeres Linux-distribution, curl-installation, git-klient eller specifikke backup- og filoverførselsværktøjer er linket mod libssh2. Kommandoer som ldd eller pakkehåndteringens versionsforespørgsler kan afsløre dette på Linux-baserede systemer.
Kan vi vente til weekenden med at opdatere?
Ja, i de fleste tilfælde. Der kræves en ondsindet eller kompromitteret server, eller en man-in-the-middle-position, for at udnytte fejlen, og der er ingen kendt aktiv udnyttelse. Har I dog systemer, der jævnligt forbinder til eksterne eller mindre betroede SFTP-servere, bør I prioritere opdateringen tidligere.
Skal vi anmelde denne sårbarhed til myndighederne?
Der er ikke pligt til at anmelde selve sårbarheden. Konstaterer I derimod et faktisk sikkerhedsbrud som følge af udnyttelse, kan I være forpligtet til at anmelde det til Datatilsynet efter GDPR-reglerne, afhængigt af hvilke data der er berørt.
Hvad koster det at vente med at opdatere?
Hovedrisikoen ved at vente er nedbrud i klientprogrammer, der bruger SFTP, hvis de forbinder til en kompromitteret server. Det kan afbryde automatiserede processer som backup eller filudveksling. Risikoen for datalæk vurderes lav, men bør ikke ignoreres helt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
libssh2 through 1.11.1, fixed in commit 2dae302, contains an out-of-bounds heap read vulnerability in the sftp_symlink() function in src/sftp.c that allows a malicious SSH server or man-in-the-middle attacker to disclose heap memory contents or cause a crash by sending a crafted SSH_FXP_NAME response. Attackers can supply a link_len value larger than the actual packet data in SSH_FXP_NAME responses for SFTP READLINK and REALPATH operations, triggering a heap buffer over-read of up to target_len minus one bytes due to the missing validation of available packet buffer size before the memcpy operation.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.