Уязвимость в OpenSSH: имена пользователей позволяют выполнить код

Екатерина Быстрова 08 Октября 2025 - 14:35

...

Уязвимость в OpenSSH: имена пользователей позволяют выполнить код

Исследователь безопасности Дэвид Лидбитер обнаружил уязвимость в OpenSSH — CVE-2025-61984 — которая демонстрирует: даже мелкие особенности парсинга команд и поведения shell могут привести к удалённому выполнению кода.

Суть проблемы проста и неприятна: в OpenSSH (до версии 10.1) контрол-символы в именах пользователей, полученных из ненадёжных источников, могли не отфильтровываться.

Когда такое «имя» подставлялось в ProxyCommand (через переменную %r), OpenSSH формировал строку для exec, которую запускал через shell. Если в этой строке оказывались символы вроде $[ и символы новой строки, некоторые оболочки (например, bash) могли интерпретировать это так, что первая команда аварийно завершается, а затем выполняется то, что идёт после — то есть возможна инъекция команды.

Эксплуатация требует специфической связки: конфигурация, использующая ProxyCommand с %r, уязвимая оболочка и «входной» источник имени пользователя, который злоумышленник контролирует. Практический пример — злоумышленный .gitmodules, где в URL подставляют строку вроде:

[submodule "foo"]
  path = foo
  url = "$[+]\nsource poc.sh\n@foo.example.com:foo"

Если SSH-конфиг содержит строку вроде

ProxyCommand some-command %r@%h:%p

и вы запускаете git clone --recursive, то в подходящих условиях может выполниться source poc.sh — до установления самого соединения.

Важно понимать: условия для успешной атаки нишевые, но реальны — инструментальная цепочка Git → SSH → shell и автоматизация (CI/CD) дают атакующему много точек входа. Проблема усугубляется тем, что OpenSSH фильтровал многие метасимволы, но пропустил $ и [ — и это создало неожиданный вектор.

Исправление уже включено в OpenSSH 10.1: разработчики начали проверять и запрещать управляющие символы в именах пользователей через iscntrl() в ssh.c. То есть долгосрочное решение — обновиться до 10.1 или новее.

Если обновиться сразу нельзя, Лидбитер предлагает два практических временных шага. Во-первых, брать имя пользователя в одинарные кавычки в ProxyCommand, чтобы предотвратить подстановку:

ProxyCommand some-command '%r@%h:%p'

(Обратите внимание: одинарные кавычки нужны именно потому, что двойные не защитят от $[ — оболочка всё ещё будет их обрабатывать.) Во-вторых, по умолчанию отключить SSH-подмодули в Git и не позволять автоматические URL-хендлеры, которые могут передавать непроверенные SSH-команды:

git config --global protocol.ssh.allow user

Главный вывод — не полагаться на то, что «маленький» символ или строка не принесут беды: при передаче входа от ненадёжных источников через несколько инструментов даже неочевидная каверза в парсинге может стать критической. Рекомендуется как можно скорее обновить OpenSSH или применить временные защитные меры в конфигурациях ProxyCommand и политиках Git.

Следующая главная новость »

Резервные копии не работают? Расскажем в эфире AM Live, как делать по уму. Регистрируйтесь! »

Екатерина Быстрова 10 Февраля 2026 - 09:08

Android Трояны Домашние пользователи F6

Опасный Android-троян Falcon охотится на пользователей в России

Специалисты F6 сообщили о новой волне атак с использованием банковского Android-трояна Falcon. С конца 2025 года злоумышленники с его помощью похищают деньги и данные банковских карт клиентов крупнейших финансовых организаций России.

По данным F6, Falcon нацелен на более чем 30 приложений — от мобильных банков и инвестиционных сервисов до госсервисов, маркетплейсов, мессенджеров и приложений для бесконтактных платежей.

Уже сейчас, по оценкам аналитиков, скомпрометированы данные нескольких тысяч банковских карт.

Falcon — вредоносная программа для Android, впервые обнаруженная ещё в 2021 году. Она основана на банковском трояне Anubis и со временем заметно «прокачалась».

Если раньше зловред в основном маскировался под приложения российских банков, то с 2025 года злоумышленники используют обновлённую версию Falcon. В неё добавили модуль VNC для удалённого управления устройством, а также возможность передавать украденные данные через Telegram.

В начале 2026 года специалисты департаментов Threat Intelligence и Fraud Protection компании F6 зафиксировали новые образцы Falcon, ориентированные именно на пользователей Android в России.

При установке Falcon запрашивает доступ к сервису Android Accessibility — легитимному механизму, предназначенному для помощи людям с ограниченными возможностями. Если пользователь выдаёт это разрешение, троян получает практически неограниченный контроль над устройством.

Злоумышленники могут:

читать, отправлять и удалять СМС;
перехватывать коды подтверждения;
совершать телефонные звонки;
получать доступ к контактам;
выполнять USSD-запросы и операции через мобильный банк даже без подключения к интернету.

Это позволяет обходить двухфакторную аутентификацию и проводить финансовые операции от имени жертвы.

Falcon работает по классической, но всё ещё эффективной схеме. Когда пользователь запускает одно из целевых приложений — будь то банк, маркетплейс или мессенджер, — троян накладывает поверх него фейковое окно с практически идентичным дизайном.

В результате пользователь сам вводит данные банковской карты, логины и пароли, даже не подозревая, что работает уже не с настоящим приложением.

Как отмечают в F6, Falcon выгодно отличается от других троянов, которые используются против пользователей в России.

«Falcon значительно более автоматизирован, чем многие другие зловреды, например Mamont. Это редкий тип инструмента в арсенале киберпреступников, но уже сейчас видно, какой ущерб он может нанести банкам и их клиентам», — поясняет Елена Шамшина, руководитель департамента Threat Intelligence компании F6.

По её словам, счёт уже идёт на тысячи скомпрометированных карт, и без дополнительных мер защиты масштабы атак могут вырасти.

Эксперты напоминают: установка приложений только из официальных источников, внимательное отношение к запрашиваемым разрешениям и отказ от выдачи доступа к Accessibility — по-прежнему один из ключевых способов снизить риск заражения.

Резервные копии не работают? Расскажем в эфире AM Live, как делать по уму. Регистрируйтесь! »