Le bug de régression (CVE-2024-6387) est corrigé dans OpenSSH 9.8

Il y a quelques jours, des chercheurs ont découvert une grave faille de sécurité dans OpenSSH, un outil largement utilisé pour la communication sécurisée sur un réseau. Cette faille est connue sous le nom de "regreSSHion" (CVE-2024-6387).

Ce bug pourrait potentiellement permettre à un attaquant distant d'exécuter du code malveillant sur un système utilisant OpenSSH. Ce post explique exactement ce qui s'est passé et ce que vous devriez faire.

Quel est le bug regreSSHion (CVE-2024-6387) ?

Un bogue de sécurité grave, nommé regreSSHion, CVE-2024-6387, a été découvert dans OpenSSH. Il a été découvert par le Qualys Threat Research Unit (TRU).

La vulnérabilité est un problème d'exécution de code à distance (RCE) non authentifiée dans le serveur OpenSSH (sshd) sur les systèmes Linux utilisant glibc. Cela signifie qu'un attaquant pourrait obtenir un accès root complet sans nécessiter d'interaction de l'utilisateur.

Cette vulnérabilité est particulièrement remarquable car c'est la première grande vulnérabilité d'OpenSSH en près de deux décennies.

Quelles versions d'OpenSSH sont concernées ?

La faille affecte les versions d'OpenSSH antérieures à 4.4p1 et les versions de 8.5p1 jusqu'à, mais sans inclure, 9.8p1.

OpenSSH 9.8 est publié

En réponse à cette menace, l'équipe OpenSSH a publié la version 9.8 le 1er juillet 2024. Cette mise à jour non seulement corrige la vulnérabilité critique, mais traite également un autre problème de sécurité.

1. Condition de concurrence dans sshd(8)

Comme nous l'avons déjà mentionné, une vulnérabilité critique connue sous le nom de « regreSSHion » a été trouvée dans sshd(8) dans les versions 8.5p1 à 9.7p1. Cette faille pourrait permettre l'exécution de code arbitraire avec des privilèges root.

Une exploitation réussie a été démontrée sur des systèmes Linux/glibc 32 bits avec la randomisation de la disposition de l'espace d'adressage (ASLR). Bien que l'exploitation sur des systèmes 64 bits soit considérée comme possible, elle n'a pas encore été démontrée.

Notamment, les systèmes OpenBSD ne sont pas vulnérables à ce problème.

Ce bug a été identifié et signalé par l'équipe Qualys Security Advisory.

2. Erreur de logique dans ssh(1) ObscureKeystrokeTiming

Dans les versions 9.5 à 9.7 d'OpenSSH, une erreur de logique dans la fonctionnalité ssh(1) ObscureKeystrokeTiming la rendait inefficace. Ce bug permettait à un observateur passif de détecter quels paquets réseau contenaient de véritables frappes au clavier.

De plus, cela a compromis une autre mesure d'atténuation des attaques par minuterie de longue date, permettant potentiellement à un observateur passif de détecter quand l'écho était désactivé et d'obtenir des informations limitées sur le timing des frappes.

Ce bug a été identifié par Philippos Giavridis, et indépendamment par Jacky Wei En Kung, Daniel Hugenroth et Alastair Beresford du laboratoire informatique de l'université de Cambridge.

Comment pouvez-vous protéger votre système ?

La meilleure façon de se protéger contre cette vulnérabilité est de s'assurer que votre version d'OpenSSH est à jour ou corrigée. La dernière version, OpenSSH 9.8, traite tous les problèmes de sécurité connus.

La version corrigée d'OpenSSH est déjà déployée et incluse dans les dépôts par défaut de nombreux systèmes d'exploitation Linux. Il est fortement recommandé aux utilisateurs de mettre à jour leurs systèmes :

# Alpine Linux
sudo apk update
sudo apk upgrade openssh

# Arch Linux
sudo pacman -Syu openssh

# Debian-based Systems (Debian, Ubuntu)
sudo apt update
sudo apt upgrade openssh-server

# Red Hat-based Systems (RHEL, CentOS, Fedora)
sudo dnf check-update
sudo dnf update openssh-server

# Older RHEL/CentOS
sudo yum check-update
sudo yum update openssh-server

# SUSE-based Systems (openSUSE, SLES)
sudo zypper refresh
sudo zypper update openssh

Après la mise à niveau, vérifiez la version installée d'OpenSSH en exécutant :

ssh -V

Points clés

OpenSSH a publié la version 9.8 le 1er juillet 2024. Cette mise à jour corrige deux problèmes de sécurité :

1. Vulnérabilité critique dans sshd

Impacte : versions OpenSSH 8.5p1 à 9.7p1

Impact : Accès root non autorisé potentiel

Détails:

Exploité avec succès sur des systèmes Linux 32 bits avec ASLR
Exploitation sur les systèmes 64 bits possible mais pas encore démontrée
Les systèmes non-glibc peuvent être affectés, mais cela n'a pas été confirmé
OpenBSD n'est pas vulnérable

Crédit : Découvert et signalé par l'équipe des conseils de sécurité Qualys

2. Vulnérabilité aux attaques par chronométrage

Impacte : Versions OpenSSH 9.5 à 9.7

Impact : Exposition potentielle des informations sur le timing des frappes

Détails:

Bogue dans la fonctionnalité ObscureKeystrokeTiming
Pourrait permettre aux observateurs de détecter quels paquets réseau contenaient de vraies frappes au clavier
A désactivé involontairement une protection de longue date contre les attaques par temporisation lors de la saisie des mots de passe

Crédit : Découvert par Philippos Giavridis et indépendamment par des chercheurs du laboratoire informatique de l'Université de Cambridge

Recommandations :

Mettez à jour vers OpenSSH 9.8 ou une version ultérieure immédiatement.

Conclusion

C'est le premier défaut majeur dans OpenSSH depuis environ 20 ans. Cela montre que même les outils de confiance ont besoin de mises à jour régulières.

La sortie d'OpenSSH 9.8 est un pas en avant significatif pour sécuriser les systèmes contre les vulnérabilités connues.

Il est fortement recommandé aux utilisateurs de mettre à jour leurs installations OpenSSH vers la dernière version afin de se protéger contre ces menaces et d'autres menaces potentielles.

Ressource:

Notes de version d'OpenSSH 9.8