CVE-2025-26466和CVE-2025-26465离线修复方案(老版本升级方案)

一、问题说明:

OpenSSH 资源管理错误漏洞(CVE-2025-26466 ),
OpenSSH（OpenBSD Secure Shell）是加拿大 OpenBSD 计划组的一套用于安全
访问远程计算机的连接工具。该工具是 SSH 协议的开源实现，支持对所有的
传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击。OpenSSH
9.5p1 版本至 9.9p1 版本存在资源管理错误漏洞，该漏洞源于恶意客户端发
送大量 ping 包，导致内存消耗失控，可能引发拒绝服务。

OpenSSH 安全漏洞(CVE-2025-26465 )
OpenSSH（OpenBSD Secure Shell）是加拿大 OpenBSD 计划组的一套用于安全
智慧建造协同云平台 V1.0 安全测试报告
访问远程计算机的连接工具。该工具是 SSH 协议的开源实现，支持对所有的
传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击。OpenSSH
存在安全漏洞，该漏洞源于在 VerifyHostKeyDNS 选项启用时存在错误代码
处理不当，会导致中间人攻击。

二、修复方法 (CentOS6.x)

1.下载升级安装包

https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.9p2.tar.gz

2.上传到指定位子并解压配置

tar -xzf openssh-9.9p2.tar.gz 
cd openssh-9.9p2
./configure --prefix=/usr --sysconfdir=/etc/ssh
make && make install

3.赋权重启

service sshd restart
或者 systemctl restart sshd  

4如果报错

Stopping sshd: [ OK ] Starting sshd:/etc/ssh/sshd_config line 82: Unsupported option UsePAM [ OK ]

打开/etc/ssh/sshd_config找到82行并注释

vi /etc/ssh/sshd_config  

5.再次重启

service sshd restart
或者 systemctl restart sshd  

三、修复方法 (CentOS7.x)

注:在CentOS7.x上升级时常遇到 :make && make install
报错make: *** No targets specified and no makefile found. Stop.
等编译错误,那么我们下面来解决这个问题
1.下载升级安装包

https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.9p2.tar.gz

2.上传到指定位子并解压配置

tar -xzf openssh-9.9p2.tar.gz 
cd openssh-9.9p2

3.从这里开始和上面修复方法不一样
按顺序输入

./configure --prefix=/usr --sysconfdir=/etc/ssh --with-md5-passwords --with-pam --with-zlib --with-tcp-wrappers --with-ssl-dir=/usr/local/openssl/ --without-hardening
make && make install
chmod 600 /etc/ssh/ssh_host_rsa_key
chmod 600 /etc/ssh/ssh_host_ecdsa_key
chmod 600 /etc/ssh/ssh_host_ed25519_key
\cp -a contrib/redhat/sshd.init /etc/init.d/sshd
chmod u+x /etc/init.d/sshd
chkconfig --add sshd
chkconfig sshd on
sed -i "s|^PermitRootLogin.*|PermitRootLogin yes|g" /etc/ssh/sshd_config
sed -i "s|^#PermitRootLogin.*|PermitRootLogin yes|g" /etc/ssh/sshd_config
sed -i "s|^PubkeyAuthentication.*|PubkeyAuthentication yes|g" /etc/ssh/sshd_config
sed -i "s|^#PubkeyAuthentication.*|PubkeyAuthentication yes|g" /etc/ssh/sshd_config

4.重启

systemctl restart sshd
ssh -V