QualysHold på SSH-nøklene dine, folkens! En kritisk sårbarhet har nettopp rystet OpenSSH, Linuxs grunnlag for sikker ekstern tilgang, og har fått erfarne systemadministratorer til å kaldsvette.
Kalt “regreSSHion” og merket som CVE-2024-6387, tillater denne ekle feilen uautentisert ekstern kjøring av kode (RCE) på OpenSSH-servere som kjører på glibc-baserte Linux-systemer. Vi snakker ikke om noen mindre privilegieeskalering her — denne feilen gir full root-tilgang på et sølvfat.
Også: De beste VPN-tjenestene (og hvordan velge den riktige for deg)
For de som har vært rundt Linux-blokken noen ganger, føles dette som déjà vu. Sårbarheten er en regresjon av CVE-2006-5051, en feil som ble rettet tilbake i 2006. Denne gamle fienden snek seg tilbake i koden i oktober 2020 med OpenSSH 8.5p1.
Heldigvis avdekket Qualys Threat Research Unit dette digitale skjelettet i OpenSSHs skap. Dessverre påvirker dette sikkerhetsproblemet standardkonfigurasjonen og trenger ingen brukerinteraksjon for å utnytte. Det er med andre ord en sårbarhet som holder sikkerhetspersonell oppe om natten.
Det er vanskelig å overvurdere den potensielle effekten av denne feilen. OpenSSH er de facto-standarden for sikker fjerntilgang og filoverføring i Unix-lignende systemer, inkludert Linux og macOS. Det er den sveitsiske hærkniven for sikker kommunikasjon for systemadministratorer og utviklere over hele verden.
Den gode nyheten er at ikke alle Linux-distribusjoner har den sårbare koden. Gamle OpenSSH-versjoner tidligere enn 4.4p1 er sårbare for denne signalbehandler-racetilstanden med mindre de er lappet for CVE-2006-5051 og CVE-2008-4109.
Versjoner fra 4.4p1 til, men ikke inkludert, 8.5p1 er ikke sårbare. Den dårlige nyheten er at sårbarheten dukket opp igjen i OpenSSH 8.5p1 opp til, men ikke inkludert, 9.8p1 på grunn av utilsiktet fjerning av en kritisk komponent.
Også: Er alle Linux leverandørkjerner usikre? En ny studie sier ja, men det er en løsning
Qualys har funnet over 14 millioner potensielt sårbare OpenSSH-serverinternettforekomster. Selskapet mener at omtrent 700 000 av disse eksterne Internett-vendte forekomstene definitivt er sårbare.
Den verste nyheten for brukere er at det ikke er noen oppdatering ennå. For å beskytte mot regreSSHion-sårbarheten, sett LoginGraceTime til 0 i sshd-konfigurasjonsfilen (som standard er denne filen /etc/ssh/sshd_config). Denne innstillingen er ikke en perfekt løsning; det vil forhindre utnyttelser, men utsetter systemene dine for potensielle tjenestenektangrep (DoS).
Sørg derfor for å begrense SSH-tilgang til serveren din ved å bruke nettverksbaserte kontroller for å begrense potensielle angrepsvektorer. Siden denne typen angrep krever mye innsats, bør du konfigurere brannmuren og nettverksovervåkingsverktøyene til å oppdage og blokkere det store antallet tilkoblinger som trengs for å utnytte dette sikkerhetsproblemet.
Også:&# xA0;De beste VPN-tjenestene for iPhone og iPad (ja, du må bruke en)
Til slutt, hold øye med OpenSSH-oppdateringene. De kommer snart ut. Når de blir tilgjengelige, bruk oppdateringene så snart som mulig.
Du kan redusere eksponeringen for sikkerhetshullet for regreSSHion betraktelig ved å implementere disse tiltakene – og du vil være glad for at du gjorde det.