[TLP:CLEAR] OpenSSH opravuje 2 zraniteľnosti
OpenSSH verziou 9.8 opravuje dve zraniteľnosti. Zraniteľnosť CVE-2024-6387 bola do produktu zavedená vo verzii 8.5p1 a zraniteľnosť CVE-2024-39894 vo verzii 9.5. Z operačných systémov zatiaľ prvú spomínanú zraniteľnosť opravili Debian [1], Ubuntu [2], Slackware [3] Red Hat (postihuje iba Red Hat Enterprise Linux 9) [4], Gentoo vydalo testovaciu verziu 9.8_p1-r2 [6] a OpenBSD nie je zraniteľný vôbec [5]. Druhá spomínaná zraniteľnosť najpopulárnejšie stabilné vydania operačných systémov nepostihuje. Vydania operačných systémov a opravené verzie OpenSSH: Debian [1]: bookworm (security) - 1:9.2p1-2+deb12u3 Ubuntu [2]: jammy - 1:8.9p1-3ubuntu0.10 mantic - 1:9.3p1-1ubuntu3.6 noble - 1:9.6p1-3ubuntu13.3 Slackware [3]: openssh-9.8p1-i586-1_slack15.0 openssh-9.8p1-x86_64-1_slack15.0 openssh-9.8p1-i586-1 openssh-9.8p1-x86_64-1
Neautentizovanému vzdialenému útočníkovi je zneužitím race condition chyby umožnené neoprávnene vykonávať ľubovoľný kód s právami root. Zraniteľnosť je lahšie zneužiteľná v prípade, ak systém nepoužíva ASLR (Address space layout randomization), prípadne znovupoužitie ASLR pre každé pripojenie. Možnosť zneužitia zraniteľnosti bola overená v laboratórnych podmienkach, pričom úspešnému útoku predchádzalo 6 - 8 hodín vytvárania veľkého množstva nových pripojení na zraniteľný stroj s 32 bitovým systémom, každopáne výsledný čas úspešného útoku závisí od konkrétneho typu systému a charakteru siete. Zraniteľné sú s istotou systémy, ktoré používajú knižnicu glibc, no momentálne nie je možné vylúčiť ani zraniteľnosť systémov, ktoré využívajú obdobu tejto knižnice [5][7]. Pravdepodobnosť zneužitia zraniteľnosti je možné značne obmedziť použítim správne nakonfigurovaného ochranného softvéru, ako je napríklad fail2ban, ktorý dokáže znížiť počet pokusov na prihlásenie v danom čase [8]. Detailnú analýzu zraniteľnosti je možné nájsť na [7]. Ako dočasnú opravu je možné použiť presmerovanie OpenSSH logov na štandardný chybový výstup "stderr", spúšťaním OpenSSH pomocou príkazu "sshd -e", čím sa vylúči použitie syslog, ktorého použitie v OpenSSH spôsobilo túto zraniteľnosť (overené na Debian a Fedora) [9][10].
Zraniteľnosť sa nachádza v produkte OpenSSH vo verziách >=8.5p1 AND <9.8.
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-6387 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-364: Signal Handler Race Condition at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 7. 2024. Naposledy bol tento report aktualizovaný 8. 7. 2024.
Útočníkovi v pozícii pasívneho pozorovateľa SSH relácie je umožnené získať určité informácie o hesle používateľa pomocou časového útoku, vykonaného pri zadávaní hesla v "echo-off" móde. Zraniteľnosť je zneužitelná len v prípade že bolo povolené "ObscureKeystrokeTiming" alebo pokiaľ bola zaslaná požiadavka na TTY [5].
Zraniteľnosť sa nachádza v produkte OpenSSH vo verziách >=9.5 AND <9.8.
Viac informácií:
- CVE-2024-39894 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-208: Observable Timing Discrepancy at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 7. 2024.
Odkazy
- [1] https://security-tracker.debian.org/tracker/CVE-2024-6387
- [2] https://ubuntu.com/security/CVE-2024-6387
- [3] http://www.slackware.com/security/viewer.php?l=slackware-security&y=2024&m=slackware-security.355153
- [4] https://access.redhat.com/security/cve/CVE-2024-6387
- [5] https://www.openssh.com/txt/release-9.8
- [6] https://packages.gentoo.org/packages/net-misc/openssh
- [7] https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt
- [8] https://github.com/fail2ban/fail2ban
- [9] https://www.openwall.com/lists/oss-security/2024/07/03/11
- [10] https://www.openwall.com/lists/oss-security/2024/07/04/1
Publikoval Martin Krajči dňa 8. 7. 2024.
