OpenSSH 9.8 lost kritieke rce-kwetsbaarheid op

OpenSSH lost een kritieke kwetsbaarheid op die remote code execution mogelijk maakt. De kwetsbaarheid treft versies 8.5p1 tot en met 9.7p1. De beveiligheidsfout werd ontdekt door onderzoekers van de Qualys Threat Research Unit in op glibc gebaseerde Linux-systemen.

De kwetsbaarheid wordt bijgehouden als CVE-2024-6387 en draagt de naam ‘regreSSHion’ omdat het gaat om een regressie van een eerder gepatchte kwetsbaarheid uit 2006, die werd bijgehouden als CVE-2006-5051. Meer dan 14 miljoen systemen zouden risico lopen door de kwetsbaarheid. De Qualys-onderzoekers raden gebruikers dan ook aan om zo snel mogelijk de nieuwste patches uit te voeren voor OpenSSH.

Onderzoekers van Qualys ontdekten dat het OpenSSH-serverproces wordt beïnvloed door een race condition waardoor kwaadwillenden op afstand niet-geverifieerde code konden uitvoeren met rootrechten. Exploitatie van de kwetsbaarheid is volgens de onderzoekers lastig, maar kan in principe leiden tot volledige systeemovername, waardoor onder meer malware geïnstalleerd kan worden of achterdeuren gecreëerd kunnen worden. Omdat het om een race condition gaat, zijn er wel meerdere pogingen nodig om een succesvolle aanval uit te voeren, aldus de onderzoekers.

De bug zit in versies 8.5p1 tot en met 9.7p1 van OpenSSH’s sshd-implementatie, specifiek op Linux-systemen die op de GNU C Library of glibc zijn gebaseerd. OpenSSH heeft de bug gerepareerd in versie 9.8, die inmiddels ook op grote distro’s als Ubuntu is doorgevoerd. Gebruikers die de tool niet kunnen bijwerken, kunnen de kwetsbaarheid mitigeren door de waarde 0 toe te kennen aan LoginGraceTime in /etc/ssh/sshd_config. Dit veroorzaakt een tijdelijke denial-of-service die de code-uitvoering voorkomt.