CVE-2026-55199: DoS-fejl i libssh2 SSH-bibliotek

CVE-2026-55199 er en fejl i biblioteket libssh2, som mange programmer bruger til at oprette SSH- og SFTP-forbindelser. Fejlen sidder i den kode, der håndterer beskeden SSH_MSG_EXT_INFO under opsætning af forbindelsen, og er af typen CWE-835, en løkke uden korrekt exit-betingelse. En SSH-server kan sætte et talfelt for antal udvidelser til den maksimale værdi 4294967295. Fordi klienten ikke kontrollerer svaret fra en intern streng-funktion, ender programmet i en løkke, der bruger fuld CPU-kraft i over et minut, uden at den normale timeout for sessionen griber ind. Fejlen kræver ikke login og ingen handling fra brugeren, men den kræver, at klienten forbinder til en server, som angriberen kontrollerer.

Sårbarheden findes i alle versioner af libssh2 op til og med 1.11.1. Den rammer ikke SSH-servere direkte, men programmer der bruger biblioteket som klient, for eksempel Git-værktøjer, curl bygget med libssh2-support, backup- og filoverførselsprogrammer, samt egne applikationer og netværksudstyr, der bruger biblioteket til SFTP eller SCP. Danske virksomheder, der lader CI/CD-pipelines, backup-jobs eller integrationer forbinde automatisk til eksterne eller ukendte SSH-servere, er de mest eksponerede.

Hvis en klientapplikation forbinder til en server, angriberen har kontrol over, kan serveren udløse fejlen og sætte klientprocessen fast med fuld CPU-belastning. I praksis betyder det, at et automatiseret job, for eksempel en natlig backup eller en byggeserver, der henter kode fra en Git-server, hænger og blokerer den kø af opgaver, der venter. Der stjæles ingen data, og systemet lukkes ikke ned, men driften af den pågældende proces stopper, indtil den bliver genstartet manuelt.

CVSS-scoren er 5,9, moderat. Angrebsvektoren er netværk, men angrebskompleksiteten er sat til høj, fordi det kræver, at klienten selv vælger at forbinde til en server, angriberen styrer eller har kompromitteret. Der kræves ingen login og ingen brugerhandling, når forbindelsen først oprettes. Konsekvensen er alene tilgængelighed, CPU-udmattelse, og påvirker ikke fortrolighed eller dataintegritet. Der er ved offentliggørelsen ikke oplysninger om, at fejlen udnyttes aktivt, og der findes ikke offentligt kendte angrebsværktøjer.

Prioritér opdateringen efter, hvor mange af jeres systemer der bruger libssh2 som SSH-klient.

1. Opdatér libssh2 til en version, der indeholder rettelsen fra commit 1762685, eller opdatér de programmer, der leverer biblioteket som en del af deres pakke.
2. Kortlæg hvilke af jeres applikationer og serverintegrationer, der benytter libssh2, herunder Git-klienter, curl-baserede scripts og backupløsninger.
3. Begræns hvilke SSH-servere jeres automatiserede jobs og klienter må forbinde til, og verificér serverens host key, hvor det er muligt.
4. Overvåg CPU-forbrug på servere, der kører automatiserede SSH-forbindelser, så et fastlåst job opdages hurtigt.
5. Kontakt en ekstern rådgiver, hvis I ikke kan identificere, hvilke af jeres systemer der reelt bruger libssh2, eller hvis opdateringen kræver ændringer i tredjepartssoftware, I ikke selv har kildekode til.