CVE-2025-26466
Vulnérabilité moyenne
CVSS 5.9 · Moyenne
EPSS 40.6%
•Versions : 0:8.7p1-45.el9, 0:9.9p1-7.el10_0, 9.5p1, <*, <=9.9p1
Description
A flaw was found in the OpenSSH package. For each ping packet the SSH server receives, a pong packet is allocated in a memory buffer and stored in a queue of packages. It is only freed when the server/client key exchange has finished. A malicious client may keep sending such packages, leading to an uncontrolled increase in memory consumption on the server side. Consequently, the server may become unavailable, resulting in a denial of service attack.
Gravité et risque d'exploitation
CVE-2025-26466 obtient un score CVSS de 5.9/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 40.65 %, ce qui la place devant 98.6 % des CVE référencées.
Que faire ?
- Vérifiez si le produit concerné (versions 0:8.7p1-45.el9, 0:9.9p1-7.el10_0, 9.5p1, <*, <=9.9p1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.