OpenSSH 远程代码执行漏洞(CVE-2024-6387)风险警告

01

—

已为该漏洞分配CVE标识符CVE-2024-6387。它驻留在OpenSSH服务器组件中，也称为sshd，用于侦听来自任何客户端应用程序的连接。

Qualys威胁研究部门高级主管Bharat Jogi在今天发布的一份披露中表示：“该漏洞是OpenSSH服务器（sshd）中的一种信号处理程序竞争条件，允许在基于glibc的Linux系统上以root身份执行未经验证的远程代码（RCE）。”。“此竞争条件会影响默认配置中的sshd。”

网络安全公司表示，它发现了不少于1400万个暴露在互联网上的潜在易受攻击的OpenSSH服务器实例，并补充说，这是一个已经修补的18年缺陷的回归，该缺陷被追踪为CVE-2006-5051，该问题于2020年10月作为OpenSSH 8.5p1版本的一部分恢复。

OpenSSH在一份公告中表示：“在具有[地址空间布局随机化]的32位Linux/glibc系统上，已经证明了成功利用该漏洞。”。“在实验室条件下，攻击平均需要6-8小时的连续连接，最高可达服务器所能接受的时间。”

该漏洞影响8.5p1和9.7p1之间的版本。4.4p1之前的版本也容易受到比赛条件错误的影响，除非它们对CVE-2006-5051和CVE-2008-4109进行了修补。值得注意的是，OpenBSD系统不受影响，因为它们包含了一个阻止缺陷的安全机制。

具体来说，Qualys发现，如果客户端在120秒内未进行身份验证（由LoginRaceTime定义的设置），则sshd的SIGALRM处理程序将以异步信号不安全的方式异步调用。

网络安全

利用CVE-2024-6387的净效果是完全的系统妥协和接管，使威胁行为者能够以最高权限执行任意代码，颠覆安全机制，窃取数据，甚至保持持久访问。

Jogi说：“一个缺陷一旦修复，就会在随后的软件版本中再次出现，通常是由于无意中重新引入问题的更改或更新。”。“这起事件凸显了彻底的回归测试在防止已知漏洞重新引入环境中的关键作用。”

虽然该漏洞由于其远程比赛条件的性质而存在重大障碍，但建议用户应用最新的补丁程序以防范潜在威胁。还建议通过基于网络的控制来限制SSH访问，并强制执行网络分段以限制未经授权的访问和横向移动

目前官方已有可更新版本，建议受影响用户升级至最新版本：

OpenSSH > 9.8p1

官方补丁下载地址：

https://www.openssh.com/releasenotes.html