發布編號：OIS-CTI-2026-03-003
情資來源：iThome、Debian Security Advisory
事件類型：漏洞修補公告、服務中斷 (Denial of Service)
內容說明：
資安研究人員近期揭露了廣泛應用於 Linux 環境的遠端存取工具 OpenSSH 存在一項與 GSSAPI（通用安全服務應用程式介面）金鑰交換機制相關的漏洞，漏洞編號為 CVE-2026-3497。
此漏洞並非源於 OpenSSH 官方原生代碼，而是源自於部分 Linux 發行版（如 Red Hat、Ubuntu、Debian 等）在封裝 OpenSSH 套件時，為了支援 GSSAPI 金鑰交換功能而額外加入的第三方修補程式（Patch）。
漏洞技術細節如下：
成因： GSSAPI Key Exchange 修補程式在處理驗證連線時存在邏輯缺陷。
攻擊手法： 遠端攻擊者可透過發送特製的連線請求，觸發該修補程式中的處理錯誤。
後果： 該錯誤會導致 SSH 背景程序（sshd）異常終止。雖然目前評估不涉及遠端碼執行或權限提升，但足以導致伺服器遠端管理功能癱瘓，造成服務中斷 (DoS)。
風險評估： CVSS 風險評分為 6.9。雖然分數屬中度偏高，但由於 OpenSSH 是企業基礎架構的核心元件，受影響範圍極廣。
影響平台：
啟用了 GSSAPI Key Exchange 功能的 Linux 發行版 OpenSSH 套件。
主要受影響發行版包括但不限於：Red Hat Enterprise Linux (RHEL)、Ubuntu、Debian 及其衍生版本。
建議措施：
執行系統更新： 儘速透過套件管理工具（如 apt-get upgrade 或 dnf update）安裝官方釋出的最新修補版本。
檢查配置： 若暫時無法更新，可檢查 /etc/ssh/sshd_config 檔案，確認是否啟用了相關功能。若非必要，可考慮暫時關閉相關設定（例如將 GSSAPIAuthentication 設為 no）。
重啟服務： 完成更新後，請務必重啟 sshd 服務（systemctl restart ssh）以確保修補程式生效。
監控日誌： 檢查 /var/log/auth.log 或 /var/log/secure 是否有異常頻繁的連線中斷或 SSH 程序崩潰紀錄。
參考連結 ：
https://www.ithome.com.tw/news/174420