Die Schwachstelle CVE-2026-35414 basiert auf einem klassischen Code-Reuse-Fehler im OpenSSH-Code. Das Problem liegt in der fehlerhaften Behandlung der authorized_keys-Principal-Option, insbesondere wenn Zertifizierungsstellen Kommatzeichen in den Zertifikat-Principal-Namen verwenden. Ein einfaches Komma führt dazu, dass der Parser es als List-Separator interpretiert, anstatt es als Literal-Zeichen zu behandeln.
Die technische Ursache ist subtil: Eine Funktion, die normalerweise Cipher- und Key-Exchange-Listen während des Schlüsselaustauschs verarbeitet, teilt komma-getrennte Listen auf und vergleicht die Fragmente mit dem Principal-Wert. Durch diesen Fehler wird ein Certificate mit dem Principal „deploy,root” so interpretiert, dass der Authentifizierung beide Teile als separate Principals gelten – ein Low-Privilege-Account wird zur Root-Berechtigung hochgestuft.
Das Sicherheitsunternehmen Cyera demonstrierte die Exploitierbarkeit in etwa 20 Minuten. Ein Test-Zertifikat mit einem Komma im Principal-Feld genügte, um auf einem Test-Server Root-Zugriff zu erlangen. Die Auswirkungen sind gravierend: Jede Organisation, die OpenSSH auf ihren Servern betreibt und eine Zertifikat-basierte Authentifizierung nutzt, ist potentiell gefährdet.
Besonders problematisch ist die fehlende Nachweisbarkeit. Da der Angriff nicht als Authentifizierungsfehler in den Logs registriert wird, können traditionelle Log-Analyse-Tools und Security-Information-and-Event-Management (SIEM)-Systeme den Missbrauch nicht erkennen. Dies erschwert die Detektion und Reaktion erheblich.
OpenSSH Version 10.3, veröffentlicht im April, behebt diese Lücke. Das BSI empfiehlt allen Organisationen dringend, ihre Systeme auf den aktuellen Stand zu bringen. Deutsche Behörden und kritische Infrastrukturen müssen dies als höchste Priorität behandeln. Unternehmen sollten parallel ihre Zertifikat-Management-Prozesse überprüfen und zusätzliche Überwachungsmechanismen wie Behavioral Analytics implementieren, um verdächtige Root-Aktivitäten zu erkennen, die durch Logfiles nicht sichtbar werden.