أُعلن مؤخرًا عن نشر إثبات مفهوم علني (PoC) لثغرة أمنية بالغة الخطورة في مكتبة libssh2، المسجلة تحت رقم CVE‑2026‑55200، والتي تتيح لخادم SSH خبيث أو مخترق التسبب في فساد الذاكرة على جهاز العميل المتصل، ما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى بيانات اعتماد أو أي تفاعل من المستخدم. الثغرة تؤثر على جميع الإصدارات حتى النسخة 1.11.1، وحصلت على تقييم خطورة CVSS 9.2، ما يجعلها من أخطر الثغرات المكتشفة في المكتبات مفتوحة المصدر خلال الفترة الأخيرة.
تفاصيل الثغرة وآلية الاستغلال
تكمن المشكلة في الدالة ssh2_transport_read() داخل ملف transport.c، المسؤولة عن تحليل حزم SSH الواردة أثناء المصافحة (Handshake). الخلل يتمثل في قراءة الحقل packet_length الذي يتحكم فيه المهاجم، حيث لم يتم فرض حد أقصى للقيمة. عند إدخال قيمة ضخمة مثل 0xffffffff، يحدث التفاف عددي (Integer Overflow) يؤدي إلى تخصيص مساحة صغيرة جدًا، بينما تتم كتابة الحزمة كاملة داخلها، ما ينتج عنه كتابة خارج حدود الذاكرة (Heap Overflow). هذا النوع من الثغرات يُصنف ضمن CWE‑680 (تجاوز سعة الذاكرة بسبب خطأ حسابي)، وهو بدائي تقليدي يُستخدم عادةً في تنفيذ التعليمات البرمجية الضارة.
خلفية تاريخية وتكرار الأخطاء
ليست هذه المرة الأولى التي تواجه فيها مكتبة libssh2 مثل هذا الخلل؛ ففي عام 2019 تم إصلاح ثغرة مشابهة (CVE‑2019‑3855) بنفس الآلية تقريبًا. عودة نفس الفئة من الأخطاء بعد سبع سنوات في نفس الجزء من الكود يثير مخاوف حول جودة التدقيق الأمني في هذه المكتبة واسعة الاستخدام. الباحث الأمني Tristan Madani هو من أبلغ عن الثغرة، وتم دمج الإصلاح عبر طلب السحب رقم #2052 في 12 يونيو، بينما نُشر رقم CVE رسميًا في 17 يونيو.
انتشار واسع وخطورة الاستخدام
تُستخدم مكتبة libssh2 على نطاق واسع في تطبيقات مثل curl وGit وPHP، إضافة إلى برامج النسخ الاحتياطي، محدّثات البرمجيات الثابتة، والأجهزة المدمجة. الخطورة تكمن في أن العديد من هذه التطبيقات تعتمد على نسخ مدمجة (Static Linking)، ما يعني أن تحديث الحزم في توزيعات لينكس قد لا يصل إليها، وبالتالي تبقى عرضة للاستغلال دون علم المستخدمين أو مديري الأنظمة.
توصيات أمنية عاجلة
أصدرت جهات مثل NHS England Digital تحذيرات عاجلة، فيما بدأت توزيعات مثل Debian بالفعل في اختبار نسخ مصححة. ومن أبرز التوصيات:
- جرد جميع التطبيقات والأجهزة التي تستخدم libssh2، بما في ذلك النسخ المدمجة.
- تطبيق نسخة مصححة تتضمن الالتزام الأمني 97acf3d سواء عبر تحديث التوزيعة أو البناء من المصدر.
- تقييد الاتصالات الصادرة عبر SSH إلى خوادم موثوقة فقط والتحقق من مفاتيح الهوست.
- مراقبة أي حزم SSH غير طبيعية أو أعطال غير مفسرة في العملاء.
- تحديث الثغرات الأخرى المرتبطة مثل CVE‑2026‑55199 (هجوم حجب الخدمة عبر حلقة CPU) وCVE‑2025‑15661 (قراءة زائدة في SFTP).
