BDU:2025-13879

Опубликовано: 09 сент. 2025

Источник: fstec

CVSS3: 3.1

CVSS2: 2.1

EPSS Низкий

Описание

Уязвимость функции first_kex_packet_follows() библиотеки libssh связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

АО «ИВК»

ООО «РусБИТех-Астра»

АО «СберТех»

Наименование ПО

Red Hat Enterprise Linux

OpenShift Container Platform

Debian GNU/Linux

АЛЬТ СП 10

Astra Linux Special Edition

libssh

Platform V SberLinux OS Server

Версия ПО

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

4 (OpenShift Container Platform)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

9 (Red Hat Enterprise Linux)

- (АЛЬТ СП 10)

1.8 (Astra Linux Special Edition)

10 (Red Hat Enterprise Linux)

13 (Debian GNU/Linux)

до 0.6.0 включительно (libssh)

9.2.0-fstec (Platform V SberLinux OS Server)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 6

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Red Hat Inc. Red Hat Enterprise Linux 9

АО «ИВК» АЛЬТ СП 10 -

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Red Hat Inc. Red Hat Enterprise Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 13

АО «СберТех» Platform V SberLinux OS Server 9.2.0-fstec

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,1)

Низкий уровень опасности (базовая оценка CVSS 3.1 составляет 3,1)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-8277

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2025-8277

Компенсирующие меры:

- использование межсетевого экрана уровня приложений (WAF) для фильтрации пользовательского ввода;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:

обновить пакет libssh до 0.10.6-0+deb12u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0224SE18

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-8277
CVE

EPSS

Процентиль: 16%

0.00052

Низкий

3.1 Low

CVSS3

2.1 Low

CVSS2

Связанные уязвимости

ROS-20251128-01

CVSS3: 3.1

redos

4 месяца назад

Уязвимость libssh

CVE-2025-8277

CVSS3: 3.1

ubuntu

7 месяцев назад

A flaw was found in libssh's handling of key exchange (KEX) processes when a client repeatedly sends incorrect KEX guesses. The library fails to free memory during these rekey operations, which can gradually exhaust system memory. This issue can lead to crashes on the client side, particularly when using libgcrypt, which impacts application stability and availability.

CVE-2025-8277

CVSS3: 3.1

redhat

7 месяцев назад

CVE-2025-8277

CVSS3: 3.1

nvd

7 месяцев назад

CVE-2025-8277

CVSS3: 3.1

msrc

7 месяцев назад

Libssh: memory exhaustion via repeated key exchange in libssh

EPSS

Процентиль: 16%

0.00052

Низкий

3.1 Low

CVSS3

2.1 Low

CVSS2