Sploitus

exploit

CVE-2016-6515

kitploit · 2026-08-29

Exploit Code

MARKDOWN79 lines
## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-OPSXCQ-EXPLOIT-CVE-2016-6515
# هجوم حجب الخدمة عن بُعد في OpenSSH

![Docker Pulls](https://img.shields.io/docker/pulls/vulnerables/cve-2016-6515.svg?style=plastic)

قبل الإصدار 7.3، لا يحد OpenSSH من أطوال كلمات المرور للمصادقة باستخدام كلمة المرور، مما يسمح للمهاجمين عن بُعد بالتسبب في حجب الخدمة (استهلاك وحدة المعالجة المركزية للتشفير) عبر سلسلة طويلة. هذا الخلل موجود في `auth-passwd.c` في دالة `auth_password`.

يمكن للمهاجمين استغلال هذه المشكلة لجعل التطبيق يدخل في حلقة لا نهائية ويستهلك موارد وحدة المعالجة المركزية بشكل مفرط، مما يؤدي إلى ظروف حجب الخدمة.

### البيئة المعرضة للخطر

لإعداد بيئة معرضة للخطر، ما عليك سوى استخدام صورة docker

root@kitploit:~
    
    
    docker run --rm -it -p 8022:22 vulnerables/cve-2016-6515
    

### الاستغلال

لاستخدام هذا الاستغلال، ستحتاج إلى تثبيت `nodejs`، واستنساخ هذا المستودع وتثبيت التبعيات باستخدام:

root@kitploit:~
    
    
    npm install
    

ثم يمكنك تشغيل الاستغلال

root@kitploit:~
    
    
    ./exploit.js -h HOST -p PORT -u USER
    

إذا قمت بتشغيل الصورة بالأمر الموصوف أعلاه، يمكنك استغلالها باستخدام

root@kitploit:~
    
    
    ./exploit.js -h localhost -p 8022 -u root -i 100
    

### التصحيح

قم بتحديث OpenSSH إلى الإصدار 7.3

### الأنظمة المعرضة للخطر

  * Ubuntu 16.04 LTS (إذا كان يعمل بالإصدار 7.2)
  * OpenSSH OpenSSH 7.2p2
  * OpenSSH OpenSSH 7.2
  * IBM Vios 2.2.1 4
  * IBM Vios 2.2
  * IBM Vios 2.2.4.0
  * IBM Vios 2.2.3.50
  * IBM Vios 2.2.2.5
  * IBM Vios 2.2.2.0
  * IBM Vios 2.2.1.3
  * IBM Vios 2.2.1.1
  * IBM Vios 2.2.0.13
  * IBM Vios 2.2.0.11
  * IBM OpenSSH for GPFS 3.5
  * IBM Aix 7.2
  * IBM AIX 7.1
  * IBM AIX 6.1
  * IBM AIX 5.3



### الاعتمادات

تم اكتشاف هذا الخلل بواسطة Tomas Kuthan (Oracle)، Andres Rojas و Javier Nieto.

### إخلاء مسؤولية

هذا البرنامج أو البرامج السابقة هي لأغراض تعليمية فقط. لا تستخدمها دون إذن. ينطبق إخلاء المسؤولية المعتاد، خاصة حقيقة أنني (opsxcq) لست مسؤولاً عن أي أضرار ناتجة عن الاستخدام المباشر أو غير المباشر للمعلومات أو الوظائف المقدمة بواسطة هذه البرامج. لا يتحمل المؤلف أو أي مزود إنترنت أي مسؤولية عن المحتوى أو سوء استخدام هذه البرامج أو أي مشتقات منها. باستخدام هذه البرامج، فإنك تقبل حقيقة أن أي ضرر (فقدان بيانات، تعطل النظام، اختراق النظام، إلخ) ناتج عن استخدام هذه البرامج ليس من مسؤولية opsxcq.