Escritura fuera de límites en libssh2 expone sistemas a ejecución remota de código

El problema

Libssh2, la popular biblioteca cliente de código abierto para el protocolo SSH, acumula una vulnerabilidad de severidad alta que afecta a todas las versiones hasta la 1.11.1 incluida. El identificador asignado es CVE-2026-55200 y ha recibido una puntuación CVSS 3.1 de 8.1 (HIGH).

El fallo se localiza en la función interna ssh2_transport_read(), encargada de procesar los paquetes SSH entrantes durante la negociación del transporte. El problema concreto —clasificado como CWE-680 (desbordamiento de entero seguido de escritura fuera de límites)— es que el código no impone un límite superior al campo packet_length de los paquetes recibidos. Un atacante remoto puede enviar un paquete SSH especialmente construido con un valor de longitud exageradamente grande para sobreescribir regiones arbitrarias del heap, lo que abre la puerta a la ejecución remota de código sin necesidad de autenticación previa.

Vector y condiciones de explotación

El vector de ataque es de red (AV:N) y no requiere privilegios (PR:N) ni interacción del usuario (UI:N). La complejidad se califica como alta (AC:H), lo que sugiere que la explotación fiable requiere cierta precisión en la manipulación de la memoria, aunque la disponibilidad de un PoC público en GitHub reduce de forma significativa la barrera técnica para potenciales actores maliciosos.

El impacto potencial cubre los tres pilares de seguridad: confidencialidad, integridad y disponibilidad, todos valorados como HIGH en la métrica CVSS.

Parche disponible

El equipo de libssh2 ya ha corregido la vulnerabilidad en el commit 7acf3df (referenciado como 97acf3d en el repositorio). La corrección introduce la validación adecuada del campo packet_length antes de cualquier operación de escritura en memoria. Se recomienda actualizar a la versión que incorpore dicho commit en cuanto esté disponible como release oficial, o aplicar el parche directamente desde el repositorio si el entorno lo permite.

Cualquier aplicación, servicio o dispositivo que enlace dinámicamente con libssh2 —clientes SFTP, herramientas de automatización, dispositivos de red, bibliotecas de lenguajes de alto nivel con bindings a libssh2— debe considerarse potencialmente afectado mientras no aplique el parche.

Recomendaciones inmediatas

  • Inventariar todas las dependencias directas e indirectas de libssh2 en el entorno.
  • Actualizar a la versión parcheada o aplicar el commit de corrección.
  • Monitorizar el tráfico SSH en busca de paquetes anómalos con campos de longitud inusualmente grandes.
  • Priorizar los sistemas expuestos directamente a Internet o a redes no confiables.

¿Estás cubierto en DefensOps?

Actualmente, CVE-2026-55200 no tiene asignadas técnicas MITRE ATT&CK específicas en nuestra base de conocimiento. No obstante, el motor de correlación genérico de DefensOps, disponible desde el plan Essential, puede detectar patrones de comportamiento anómalo asociados a intentos de explotación de desbordamientos de memoria, incluyendo actividad de red inusual hacia servicios SSH y posibles indicadores de compromiso posteriores a una ejecución de código remota.

Te recomendamos revisar las reglas de correlación de tu entorno y activar alertas sobre tráfico SSH con anomalías de protocolo.

👉 Consulta los planes de DefensOps y solicita una demo para comprobar cómo nuestra plataforma puede ayudarte a detectar y responder ante vulnerabilidades como esta.

Fuentes: The Hacker News · Commit de corrección en GitHub · Pull Request #2052 · Advisory VulnCheck · PoC público