【误差通告】OpenSSH Server远程代码执行误差（CVE-2024-6387）

宣布时间 2024-07-01

 

一、误差概述

误差名称

   OpenSSH Server远程代码执行误差

CVE   ID

CVE-2024-6387

误差类型

竞争条件

发明时间

2024-07-01

误差评分

8.1

误差品级

高危

攻击向量

网络

所需权限

无

使用难度

高

用户交互

无

PoC/EXP

未果真

在野使用

未发明

 

OpenSSH是SSH（Secure SHell）协议的开源实现， ，，，它通过不清静的网络在两个不受信任的主机之间提供清静的加密通讯。。 。。。。OpenSSH 普遍用于基于Unix 的系统， ，，，通常用于清静远程登录和远程文件传输， ，，，以及其它网络效劳。。 。。。。

2024年7月1日， ，，，鉴黑担保网集团VSRC监测到OpenSSH Server中保存一个远程代码执行误差（CVE-2024-6387， ，，，被称为regreSSHion）， ，，，该误差影响基于 glibc 的Linux系统上的 OpenSSH Server (sshd)， ，，，现在误差细节已果真。。 。。。。

默认设置下的OpenSSH Server (sshd)中保存信号处置惩罚程序竞争条件误差， ，，，若是客户端未在LoginGraceTime 秒内（默认情形下为 120 秒， ，，，旧版 OpenSSH 中为 600 秒）举行身份验证， ，，，则 sshd 的 SIGALRM 处置惩罚程序将被异程序用， ，，，但该信号处置惩罚程序会挪用种种非async-signal-safe的函数（例如syslog()）， ，，，威胁者可使用该误差在基于 glibc 的 Linux 系统上以 root 身份实现未经身份验证的远程代码执行。。 。。。。


二、影响规模

OpenSSH < 4.4p1（除非已针对 CVE-2006-5051和CVE-2008-4109 举行修复）

8.5p1 <= OpenSSH < 9.8p1

注：4.4p1 <= OpenSSH < 8.5p1不易受到该误差攻击， ，，，OpenBSD系统不受该误差影响。。 。。。。

 

三、清静步伐

3.1 升级版本

现在该误差已修复， ，，，受影响用户可升级到目今最新版本OpenSSH 9.8p1或应用相关补丁或缓解。。 。。。。

下载链接：

https://www.openssh.com/

补丁下载链接：

https://github.com/openssh/openssh-portable/commit/81c1099d22b81ebfd20a334ce986c4f753b0db29

3.2 暂时步伐

可以通过验证所装置的 OpenSSH Server版原来确定其系统是否易受攻击， ，，，如确认受影响可实时更新， ，，，尤其是面向互联网的资产。。 。。。。

若是 sshd 无法更新或重新编译， ，，，可在设置文件中将 LoginGraceTime 设置为 0， ，，，这会耗尽所有 MaxStartups 毗连， ，，，从而使sshd 容易受到拒绝效劳攻击， ，，，但可以缓解该RCE危害。。 。。。。

3.3 通用建议

l  按期更新系统补丁， ，，，镌汰系统误差， ，，，提升效劳器的清静性。。 。。。。

l  增强系统和网络的会见控制， ，，，修改防火墙战略， ，，，关闭非须要的应用端口或效劳， ，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网， ，，，镌汰攻击面。。 。。。。

l  使用企业级清静产品， ，，，提升企业的网络清静性能。。 。。。。

l  增强系统用户和权限治理， ，，，启用多因素认证机制和最小权限原则， ，，，用户和软件权限应坚持在最低限度。。 。。。。

l  启用强密码战略并设置为按期修改。。 。。。。

3.4 参考链接

https://www.openssh.com/releasenotes.html

https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt

https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server

 


四、版本信息

版本

日期

备注

V1.0

2024-07-01

首次宣布

 

 

五、附录

5.1 鉴黑担保网简介

鉴黑担保网建设于1996年， ，，，是由留美博士严望佳女士建设的、拥有完全自主知识产权的信息清静高科技企业。。 。。。。是海内最具实力的信息清静产品、清静效劳解决计划的领航企业之一。。 。。。。

公司总部位于北京市中关村软件园鉴黑担保网大厦， ，，，公司员工6000余人， ，，，研发团队1200余人, 手艺效劳团队1300余人。。 。。。。在天下各省、市、自治区设立分支机构六十多个， ，，，拥有笼罩天下的销售系统、渠道系统和手艺支持系统。。 。。。。公司于2010年6月23日在深圳中小板挂牌上市。。 。。。。（股票代码：002439）

多年来， ，，，鉴黑担保网致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳， ，，，资助客户周全提升其IT基础设施的清静性和生产效能， ，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。 。。。。

5.2 关于鉴黑担保网

鉴黑担保网清静应急响应中心已宣布1000多个误差通告和危害预警， ，，，我们将一连跟踪全球最新的网络清静事务和误差， ，，，为企业的信息清静保驾护航。。 。。。。

关注我们：

image.png