Linux / DATA PUBLICZNEGO OGŁOSZENIA
regreSSHion: powrót podatności w OpenSSH
Błąd wyścigu w serwerze SSH przypomniał, że dawna podatność może powrócić po zmianach w kolejnych wersjach programu.
Co się wydarzyło?
1 lipca 2024 roku OpenSSH wydał wersję 9.8, a Qualys przedstawił podatność regreSSHion. Dotyczyła błędu wyścigu w obsłudze sygnałów serwera sshd. Nieprawidłowa obsługa upływu czasu na uwierzytelnienie mogła prowadzić do wykonania kodu z uprawnieniami root.
Nazwa nawiązuje do regresji: problem związany z dawną podatnością powrócił po późniejszych zmianach w kodzie. Szczególnie istotne były wydania Portable OpenSSH od 8.5p1 do 9.7p1. Stan konkretnego pakietu trzeba jednak oceniać razem z poprawkami dostawcy systemu.
Co potwierdzono przy ujawnieniu?
W komunikacie z lipca 2024 roku OpenSSH opisał udane wykorzystanie na 32-bitowym Linuksie z glibc. Wariant dla systemów 64-bitowych uznawano wtedy za możliwy, ale nie był jeszcze zademonstrowany w tym komunikacie. Zależność od platformy i charakter błędu wyścigu miały znaczenie dla praktycznej oceny ryzyka.
Atak nie wymagał znajomości hasła użytkownika. Samo ustawienie silnych haseł albo używanie kluczy SSH nie naprawiało podatnego kodu serwera działającego przed zakończeniem logowania.
Co to oznacza dla administratora?
Oprogramowanie służące do dostępu administracyjnego wymaga aktualizacji tak samo jak aplikacje klientów. Po wdrożeniu poprawki trzeba sprawdzić wersję i ponowne uruchomienie odpowiedniej usługi, uwzględniając zalecenia dystrybucji. Historia regreSSHion pokazuje też wartość testów regresji: wcześniejsze usunięcie błędu nie oznacza, że podobna wada nie pojawi się ponownie.