Worum es geht

OpenSSH ist eine Open Source Implementierung des Secure Shell Protokolls. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in OpenSSH ausnutzen, um kryptografische Sicherheitsvorkehrungen zu umgehen und um einen Denial of Service Zustand herbeizuführen.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• kryptografische Sicherheitsvorkehrungen zu umgehen
• einen Denial of Service Zustand herbeizuführen

Bin ich betroffen?

Betroffen sind laut BSI:

• IBM VIOS 3.1
• IBM AIX 7.3
• IBM VIOS 4.1
• Debian Linux
• Amazon Linux 2
• FreeBSD Project FreeBSD OS
• IBM AIX 7.2
• IBM Power Hardware Management Console
• Red Hat Enterprise Linux
• Fedora Linux
• Ubuntu Linux
• F5 BIG-IP

und 44 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Open Source OpenSSH 9.9p2
• Securepoint UTM 14.0.2
• Dell integrated Dell Remote Access Controller 7.00.00.181
• Dell integrated Dell Remote Access Controller 7.20.30.50
• Fortinet FortiAnalyzer 7.6.3
• Fortinet FortiAnalyzer 7.4.7
• Fortinet FortiAnalyzer 7.2.11
• Fortinet FortiManager 7.6.3
• Fortinet FortiManager 7.4.7
• Fortinet FortiManager 7.2.11
• QNAP NAS QTS 5.2.4.3079 build 20250321
• QNAP NAS QuTS hero h5.2.4.3079 build 20250321

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.