CVE-2026-55653 : double libération mémoire dans OpenSSH lors de la validation des groupes FIPS DH-GEX

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE SYSTÈME

Cible : OpenSSH (kexgexc.c)

Confiance : 94%

70 / 100

MEDIUM

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-55653 à 4.3 (MEDIUM, CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L). Le score opérationnel Hermes s'établit à 70 (MEDIUM) en raison de l'exposition critique de ce composant d'infrastructure.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-55653: OpenSSH DH-GEX Client Path Double-Free in FIPS Known-Group ValidationVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTOpenSSH Suite

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in OpenSSH Suite documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité système : CWE-415 : double free

CVSS v3.1 : 4.3 MEDIUM : (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L) / CWE-415: Double Free. Corrigée dans la version officielle amont 10.3p1.

Résumé exécutif

La CVE-2026-55653 concerne OpenSSH sur les distributions d’entreprise (RHEL 8, 9, 10 et dérivés) opérant en mode FIPS. Durant la négociation de clés Diffie-Hellman Group Exchange (DH-GEX), le client vérifie que les paramètres fournis par le serveur correspondent aux groupes homologués FIPS. Si un serveur renvoie des paramètres non conformes, la branche d’erreur de kexgexc.c libère l’objet BIGNUM correspondant, avant qu’un second appel de libération ne survienne lors du nettoyage, provoquant le crash de la session SSH.

---

1. Contexte technique & matrice des versions affectées

Le composant logiciel OpenSSH (kexgexc.c) assure des fonctions fondamentales d’exécution et de sécurité dans les infrastructures Linux et Unix d’entreprise.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2026-55653	Bulletin officiel de sécurité amont
Produit affecté	openssh:openssh	Composant d’infrastructure système
Composant vulnérable	OpenSSH (kexgexc.c)	Bibliothèque / Démon / Émulateur
Classe de faiblesse	CWE-415: Double Free	Contrôle de sécurité / Sûreté mémoire
Score CVSS v3.1	4.3 (MEDIUM / Score Hermes 70)	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L
Version corrigée	10.3p1	Correctif officiel amont
Techniques MITRE ATT&CK	T1499 - Endpoint Denial of Service, T1557 - Adversary-in-the-Middle	Élévation de privilèges / Évasion de défenses
Référence forensique	Analyse de crash processus et corruption mémoire Linux	Analyse des artefacts et traces d’exécution

---

2. Décomposition technique approfondie & cause racine

L’examen du code source incriminé met en évidence les défaillances de contrôle de politique ou de gestion de la mémoire sous des entrées atypiques.

// Bug in kexgexc.c (kexgex_client)
int kexgex_client(struct ssh *ssh)
{
    BIGNUM *p = NULL, *g = NULL;
    ...
    if (fips_mode() && !validate_fips_dh_group(p, g)) {
        BN_clear_free(p); // First free of BIGNUM p
        /* VULNERABILITY: p pointer is not set to NULL */
        r = SSH_ERR_INVALID_ARGUMENT;
        goto out; // 'out' calls BN_clear_free(p) again!
    }
    ...
out:
    BN_clear_free(p);
    return r;
}

Lorsque les conditions d’exploitation sont réunies, le chemin critique contourne les mécanismes de contrôle d’accès ou corrompt l’espace mémoire, offrant une primitive fiable pour un attaquant.

---

3. Scénarios d’attaque & modélisation des menaces

1. Vecteur initial & prérequis : un serveur SSH malveillant renvoie des paramètres de groupe DH-GEX invalides lors de la connexion d’un client d’automatisation en mode FIPS.
2. Déclenchement de la primitive : l’attaquant forge des arguments spécifiques ou injecte des paquets réseau vers OpenSSH (kexgexc.c).
3. Rupture d’isolement / corruption mémoire : le contrôle de sécurité prévu est contourné.
4. Conséquences opérationnelles : le client est brutalement interrompu par SIGABRT en raison de la double libération mémoire, bloquant les sauvegardes et télétransmissions sécurisées..

---

4. Détection forensique, artefacts & logs système

Les équipes de sécurité et d’investigation numérique peuvent détecter les tentatives d’exploitation en surveillant les journaux d’audit et les rapports de crash.

Journaux système & télémétrie

Surveillez les journaux à la recherche des motifs de détection : ssh[pid]: double free or corruption (fasttop) / coredump generated. Recherchez les arrêts anormaux de processus ou les crashs inexpliqués.

Auditd & traçage de processus

Déployez des règles d’audit pour tracer les exécutions et appels système suspects. Consultez Analyse de crash processus et corruption mémoire Linux.

Règles de détection et Threat Hunting

Règle Sigma

sigma_cve_2026_55653.yaml

title: OpenSSH Client DH-GEX FIPS Validation Double Free Crash (FR)
id: cve-2026-55653
status: experimental
description: Détecte les artefacts d'exploitation et signatures d'arrêt anormal pour CVE-2026-55653.
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        - 'ssh[pid]:'
        - 'openssh'
    condition: selection
fields:
    - CommandLine
    - User
level: high

Tracepoint eBPF

# Surveillance par tracepoint eBPF de openssh:openssh
sudo bpftrace -e '
kprobe:kexgexc.c {
    printf("PID %d (%s) a exécuté la fonction cible\n", pid, comm);
}'

---

5. Remédiation, durcissement & mesures d’atténuation

La protection des environnements face à la vulnérabilité CVE-2026-55653 repose sur le déploiement des correctifs et l’application du principe de moindre privilège :

1. Mise à niveau logicielle : mettez à jour openssh:openssh vers la version 10.3p1 ou ultérieure via les dépôts officiels de votre système d’exploitation.
2. Durcissement des accès : révisez les règles de délégation, les permissions sur les sockets IPC et les descripteurs partagés.
3. Surveillance forensique : pour approfondir les méthodes d’investigation et l’analyse d’incidents, consultez notre guide dédié sur Analyse de crash processus et corruption mémoire Linux.