CVE-2024-6387 OpenSSH 任意代码执行漏洞 PoC 漏洞发布 POC

针对严重 OpenSSH 漏洞 CVE-2024-6387（也称为“regreSSHion”）的概念验证 (PoC) 漏洞已发布，引起了整个网络安全社区的警惕。

该漏洞影响全球数百万台 OpenSSH 服务器，允许未经身份验证的远程攻击者在特定条件下以 root 权限执行任意代码。

漏洞：2006 年问题的回归

CVE-2024-6387 源自 OpenSSH 服务器 (sshd) 中的信号处理程序竞争条件。当未经身份验证的客户端未能在“LoginGraceTime”限制（默认为 120 秒）内登录时，就会发生此问题。

在这种情况下触发的服务器 SIGALRM 处理程序会调用非异步信号安全函数（例如“syslog（）”），从而创建可利用来实现远程代码执行（RCE）的竞争条件。

此漏洞尤其严重，因为它再次引入了 2006 年首次修补的漏洞 (CVE-2006-5051)，使其成为回归问题。此漏洞是由 Qualys 威胁研究部门发现的。

它会影响基于 glibc 的 Linux 系统上的 OpenSSH 版本 8.5p1 到 9.8p1。OpenBSD 系统不受影响，因为它们的信号处理机制不同。

漏洞利用的挑战和风险

虽然这个漏洞很严重，但利用它并不容易。安全研究人员将其描述为“统计漏洞”，需要多次尝试才能赢得竞争条件。

在受控环境中，成功利用漏洞需要几个小时到一周的时间，具体取决于系统配置和缓解措施，例如地址空间布局随机化 (ASLR)。尽管存在这些挑战，但 PoC 代码的发布大大降低了攻击者的门槛。

报告显示，针对 CVE-2024-6387 的漏洞利用工具已在地下论坛上流传，并且至少有一个 IP 地址已被观察到在野外尝试利用该漏洞。

根据使用 Shodan 和 Censys 等工具进行的扫描，该漏洞影响了全球超过 1400 万台暴露在互联网上的 OpenSSH 服务器。

根据 Qualys 的数据，其中约有 70 万个存在漏洞。漏洞利用可能导致整个系统被攻陷，允许攻击者安装恶意软件、创建后门、操纵数据并在网络中传播。

值得注意的是，利用漏洞仅在带有 glibc 的 32 位 Linux 系统上得到证实。虽然在 64 位系统或非 glibc 环境中利用漏洞在理论上是可行的，但尚未得到证实。

缓解措施

为了解决此严重漏洞：

• 升级到 OpenSSH 9.8 或更高版本：最新版本包含解决竞争条件的补丁。
• 临时解决方法：在 sshd 配置文件中将“LoginGraceTime”设置为“0”。虽然这可以防止漏洞被利用，但可能会使系统面临拒绝服务风险。
• 限制访问：使用基于网络的控制来限制 SSH 访问。
• 监控入侵指标 (IoC)：组织应该部署入侵检测系统并监控日志中是否存在异常活动。

PoC 代码的发布引起了网络安全专家的广泛关注。虽然一些研究人员很难在实验室环境之外成功利用该漏洞，但其他人警告称，攻击者可能会随着时间的推移不断改进这些方法。

敦促各组织迅速采取行动，修补受影响的系统，并在无法立即升级的地方实施额外的安全措施。

CVE-2024-6387 的 PoC 漏洞利用的发布凸显了解决 OpenSSH 服务器中这一严重漏洞的紧迫性。

虽然由于技术障碍，大规模利用的可能性不大，但成功攻击的潜在影响是严重的。组织必须优先修补并采取分层安全措施来减轻与此漏洞相关的风险。

POC：https://exploitfinder.com/dbexploit/exploit.html?id=CVE-2024-6387&type=GitAI&returnTab=github-ai

原文始发于微信公众号（Ots安全）：CVE-2024-6387 OpenSSH 任意代码执行漏洞 PoC 漏洞发布