Pesquisador anônimo divulga repositório com exploits zero-day para libssh2 e Gitea

Um pesquisador autodenominado "bikini" expôs um repositório, o Exploitarium, com exploits para vulnerabilidades zero-day, incluindo a CVE-2026-55200 no libssh2 e a CVE-2026-20896 no Gitea. A CVE-2026-55200 é uma falha crítica de execução remota de código (RCE) pré-autenticação. Ela permite que invasores manipulem pacotes SSH com um packet_length excessivamente grande no libssh2, uma biblioteca cliente em C que implementa o protocolo SSH2. Essa manipulação pode corromper a memória heap do sistema, abrindo caminho para a execução de código arbitrário. A vulnerabilidade reside em ssh2_transport_read(), onde um controle inadequado do tamanho do pacote de entrada leva a um cálculo incorreto de alocação de memória.

A falha ocorre porque o libssh2, em versões até a 1.11.1, aceitava um packet_length controlado pelo atacante sem antes verificar se excedia o limite máximo de pacote do libssh2. Isso significa que, mesmo com um packet_length malicioso, a lógica de alocação de memória baseava-se em um valor indevido, permitindo overflows. O pesquisador bikini demonstrou a capacidade de criar um exploit de prova de conceito (PoC) que, sob certas condições, pode vazar da área alocada para um ponteiro de callback, possibilitando a execução de comandos. Embora o repositório Exploitarium já tenha sido removido do GitHub, os detalhes técnicos e os exploits estão circulando, representando um risco imediato para sistemas que usam versões vulneráveis do libssh2.

A vulnerabilidade CVE-2026-55200 no libssh2, detalhada no repositório Exploitarium, já possui uma correção integrada ao branch principal de desenvolvimento do projeto libssh2 no GitHub. O patch adiciona uma verificação para rejeitar packet_length > LIBSSH2_PACKET_MAXPAYLOAD, prevenindo a condição de overflow. Contudo, até o momento da publicação, os mantenedores ainda preparam uma nova versão com a correção.

A exposição de vulnerabilidades zero-day, como as do libssh2 e Gitea, sem notificação prévia aos desenvolvedores, é uma prática controversa, mas que impacta diretamente a segurança. Ataques usando essas falhas já ocorrem, então a urgência em aplicar as correções assim que disponíveis é máxima. Profissionais de segurança devem monitorar rigorosamente os logs de serviços SSH e Git e preparar defesas paliativas até a chegada dos patches oficiais. A situação sublinha a tensão entre a descoberta de vulnerabilidades e a divulgação responsável.