libssh2 の脆弱性 CVE-2026-66032／66033／66034／66035 が FIX：悪意の SSH サーバによるクライアント破壊

libssh2 Vulnerabilities Allow a Malicious SSH Server to Corrupt Client Memory

2026/07/28 CyberSecurityNews — libssh2 に存在する一連の高深刻度の脆弱性により、SSH／SFTP クライアント・アプリケーションが悪意のサーバへ接続する際に、メモリ破損／クラッシュ／潜在的なコード実行にさらされる可能性がある。libssh2 は広く使用されている C ライブラリであり、リモート管理ツール／ファイル転送／自動デプロイメント・ツール／バックアップ・プラットフォーム／SFTP クライアントといった各種のアプリケーションに対して、SSH2 プロトコルをサポートしている。

libssh2 の脆弱性

2026年7月24日に公開された 4 件の脆弱性は、libssh2 バージョン 1.11.1 以前に影響を及ぼすものであり、すでに上流コミットで対処されている。

1 つ目の脆弱性 CVE-2026-66032 は、src/sftp.c の sftp_open() 関数内に存在する double-free の欠陥である。CVSS スコアは 8.7 であり、CWE-415 (Double Free) に分類されている。

この欠陥は、認証済みクライアントが SFTP セッションを開いた後に発生し、特定のエラー条件下において libssh2 が、同じレスポンス・データ・バッファを誤って 2 回解放する。

glibc heap allocator を使用しているシステムでは、これにより tcache の重複と二重のメモリ割り当てが発生する可能性がある。これを悪用する攻撃者が、アプリケーション・メモリを破損させ、function pointers を上書きする可能性がある。この脆弱性は commit 5e47761 で修正されている。

この脆弱性を悪用する SSH サーバからは、SSH_FXP_OPEN リクエストに対して、細工された success status レスポンスが送信される。

2 つ目の脆弱性 CVE-2026-66033 は、src/openssl.c の ssh2_cipher_crypt() 関数に影響を及ぼす。この認証を必要としない整数アンダーフローの脆弱性の CVSS スコアは 8.7 であり、境界外読み取りを引き起こす可能性がある。

悪意のあるサーバは、SSH ハンドシェイクに AES-GCM 暗号化をネゴシエートし、パケットサイズ計算において整数アンダーフローを引き起こす可能性がある。

これにより境界外読み取りが発生し、最大サイズ値で memcpy() が呼び出される可能性があるため、認証前にクライアントがクラッシュする。この問題の修正は、commit a2ed82d で提供されている。

3つ目と 4つ目の脆弱性も、メモリ破損につながる可能性がある。

脆弱性 CVE-2026-66034 は、public-key サブシステムに影響を及ぼす。悪意のサーバが安全ではない長さの値 (length 値) を供給することで、パーサーによる読み取りが、割り当て済みヒープバッファを越える可能性がある。また、エラー処理パスでは、未初期化の pointer が解放される可能性もある。この欠陥は commit a13bb6c で修正されている。

脆弱性 CVE-2026-66035 は、src/transport.c の fullpacket() 関数に存在する、認証前のヒープバッファ・オーバーフローの欠陥である。Encrypt-then-MAC cipher ネゴシエーション中に悪意のサーバは、要求される cipher block size より小さなパケットを送信できる。

その結果として、このライブラリは不十分なサイズの buffer を割り当て、保持できる量を超えるデータをコピーする。この脆弱性は commit 42e33d8 で対処されている。

ユーザー組織に対して推奨されるのは、上記の 4 件の脆弱性を修正するバージョンへのアップデートもしくは、参照されている上流パッチを用いてライブラリを再ビルドすることである。

それに加えて、セキュリティチームとして必要なことは、libssh2 を静的に同梱しているソフトウェア・パッケージを特定することである。オペレーティング・システムのパッケージを更新するだけでは、影響を受けるアプリケーション全体を修正できない可能性がある。

訳者後書：libssh2 の脆弱性 CVE-2026-66032／CVE-2026-66033／CVE-2026-66034／CVE-2026-66035 は、接続時のデータ検証やメモリ管理の不備に起因するものです。悪意の送信元との通信により内部の処理が乱され、プログラムの停止や意図しない動作などが引き起こされる恐れがあります。システムを安全に利用するためにも、対策が施された修正版ライブラリへの更新を速やかに実施してください。組み込み型のプログラムを利用している場合には、個別でのアップデート対応が必要になる点にも注意が必要です。