Grave falla di OpenSSH può fornire accesso remoto come root a criminali informatici

[Filoteo]

Maggiori dettagli qui: https://www.qualys.com/2024/07/01/cve-2 ... sshion.txt. Possibile mitigazione nel caso non si possa aggiornare subito: https://marc.info/?l=oss-security&m=171982317624594&w=2

[saxtro]

Codice: Seleziona tutto

...
- OpenSSH < 4.4p1 is vulnerable to this signal handler race condition,
  if not backport-patched against CVE-2006-5051, or not patched against
  CVE-2008-4109, which was an incorrect fix for CVE-2006-5051;

- 4.4p1 <= OpenSSH < 8.5p1 is not vulnerable to this signal handler race
  condition (because the "#ifdef DO_LOG_SAFE_IN_SIGHAND" that was added
  to sigdie() by the patch for CVE-2006-5051 transformed this unsafe
  function into a safe _exit(1) call);

- 8.5p1 <= OpenSSH < 9.8p1 is vulnerable again to this signal handler
  race condition (because the "#ifdef DO_LOG_SAFE_IN_SIGHAND" was
  accidentally removed from sigdie()).
...

Quindi con versioni comprese tra 4.4p1 e 8.5p1 non si è vittime di questo bug.

[wilecoyote]

) Salve, dato che tra circa 3 ore, ¼ d'orina più ¼ d'orina meno, avrò la necessità d'usare il OpenSSH, la versione 8.9p1 appena aggiornata è sicura o no ?

:: Ciao

[Filoteo]

) Salve, dato che tra circa 3 ore, ¼ d'orina più ¼ d'orina meno, avrò la necessità d'usare il OpenSSH, la versione 8.9p1 appena aggiornata è sicura o no ?

:: Ciao

Se apt-cache policy openssh-server riporta questa versione allora è sicura.

[wilecoyote]

) Salve, grazie della risposta @Filoteo.

Sì, in Kubuntu Jammy 22.04.4 LTS è quella la versione appena aggiornata.

:: Ciao

[korda]

immaginate i comandi di cui sopra lanciati in un datacenter ancora popolato da macchine CentOS 7, che per forza di cose non possono essere aggiornate… Ma non può essere dai, non ci sarà nessuno così miope da utilizzare una distribuzione non mantenuta in produzione… Giusto?

[Alien321]

Si ma sarebbe anche da dire che è una falla estremamente difficile da sfruttare e che sul sistemi a 64bit è virtualmente impossibile, giusto
per non generare panico a caso

[Filoteo]

Si ma sarebbe anche da dire che è una falla estremamente difficile da sfruttare e che sul sistemi a 64bit è virtualmente impossibile

Gli sviluppatori stessi di OpenSSH non la vedono in questo modo: https://www.openssh.com/releasenotes.html

Successful exploitation has been demonstrated on 32-bit Linux/glibc
systems with ASLR. Under lab conditions, the attack requires on
average 6-8 hours of continuous connections up to the maximum the
server will accept. Exploitation on 64-bit systems is believed to be
possible but has not been demonstrated at this time. It's likely that
these attacks will be improved upon.

Exploitation on non-glibc systems is conceivable but has not been
examined. Systems that lack ASLR or users of downstream Linux
distributions that have modified OpenSSH to disable per-connection
ASLR re-randomisation (yes - this is a thing, no - we don't
understand why) may potentially have an easier path to exploitation.
OpenBSD is not vulnerable.

[Alien321]

Si ma sarebbe anche da dire che è una falla estremamente difficile da sfruttare e che sul sistemi a 64bit è virtualmente impossibile

Gli sviluppatori stessi di OpenSSH non la vedono in questo modo: https://www.openssh.com/releasenotes.html

Successful exploitation has been demonstrated on 32-bit Linux/glibc
systems with ASLR. Under lab conditions, the attack requires on
average 6-8 hours of continuous connections up to the maximum the
server will accept. Exploitation on 64-bit systems is believed to be
possible but has not been demonstrated at this time. It's likely that
these attacks will be improved upon.

Exploitation on non-glibc systems is conceivable but has not been
examined. Systems that lack ASLR or users of downstream Linux
distributions that have modified OpenSSH to disable per-connection
ASLR re-randomisation (yes - this is a thing, no - we don't
understand why) may potentially have an easier path to exploitation.
OpenBSD is not vulnerable.

Sono due le cose, o non sai legge l'inglese o hai problemi di comprensione :

Under lab conditions, the attack requires on average 6-8 hours of continuous connections

e questo sui sistemi a 32 bit e con condizione da laboratorio non reali 6 ore di attacco continuo!!!. Per quelli a 64bit:

Exploitation on 64-bit systems is believed to be
possible but has not been demonstrated at this time

E ci credo dato che ci vorrebbero qualche decina di migliaia di ore di connessione continua

Il resto sono frasi di circostanza per dire che è meglio aggiornare.

Ma ripeto è un attacco difficile da usare

[Filoteo]

e questo sui sistemi a 32 bit e con condizione da laboratorio non reali 6 ore di attacco continuo!!!. Per quelli a 64bit:

E quindi? Pensi che i server in ambienti cloud vengano spenti nella pausa pranzo?

E ci credo dato che ci vorrebbero qualche decina di migliaia di ore di connessione continua

Tua supposizione, gli attacchi migliorano sempre tra l’altro.