libssh2: kwaadaardige SSH-server kan code uitvoeren (USN-8532-1)

Ubuntu heeft in USN-8532-1 twee kwetsbaarheden in libssh2 gepatcht. libssh2 is de client-bibliotheek die veel tools gebruiken om SSH-verbindingen op te zetten (los van OpenSSH).

Wat is er aan de hand

• CVE-2026-58050 — libssh2 verwerkt bepaalde attributen van het publickey-subsysteem onjuist. Een aanvaller die een kwaadaardige SSH-server beheert, kan hiermee een denial-of-service veroorzaken of mogelijk willekeurige code laten uitvoeren.
• CVE-2026-58051 — libssh2 initialiseert publickey-lijstentries niet correct vóór het parsen, met dezelfde impact.

Het aanvalsmodel is hier omgekeerd ten opzichte van een serverkwetsbaarheid: het risico ontstaat wanneer een client met een door de aanvaller gecontroleerde server verbindt.

Waarom dit relevant is voor deze stack

Alles wat via libssh2 uitgaande SSH-verbindingen maakt, is geraakt — denk aan scripting-tools, monitoring-agents of deploy-tooling die libssh2 linkt in plaats van de OpenSSH-client. Op deze host is dat beperkt, maar het hoort thuis in het SSH-gerelateerde beeld naast de OpenSSH-CVE’s van dezelfde dag.

Advies

Installeer de update (apt update && apt upgrade). Herstart processen die libssh2 langdurig in het geheugen houden, zodat ze de gepatchte bibliotheek laden.