Beveiligingsadviezen

De ontwikkelaars van OpenSSH hebben een kwetsbaarheid verholpen in OpenSSH

De kwetsbaarheid stelt een kwaadwillende in staat om zonder voorafgaande authenticatie willekeurige code uit te voeren met rechten van het sshd-proces. Het is niet uit te sluiten dat het ssh-proces met verhoogde rechten actief is, waardoor het mogelijk is dat de kwaadwillende code kan uitvoeren met rechten tot aan root.

De kwetsbaarheid bevindt zich in een beperkt aantal versies. Versies van OpenSSH 8.5p1 en hoger, tot 9.7p1 zijn kwetsbaar, en versies tot aan 4.4p1, welke niet meer ondersteund worden. Versies tussen 4.4p1 en 8.5p1 zijn niet kwetsbaar. Dit komt omdat de kwetsbaarheid een regressie is van de eerder verholpen kwetsbaarheid met kenmerk CVE-2006-5051, welke in versie 4.4p1 is verholpen, maar in versie 8.5p1 herintroduceerd is.

Daadwerkelijk misbruik is bijzonder ingewikkeld. Een kwaadwillende moet voor langere tijd connectiepogingen onderhouden. In een laboratoriumopstelling van de onderzoekers vereiste dat verbindingen van 6-8 uur, op 32-bit systemen. Theoretisch is het mogelijk om de kwetsbaarheid te misbruiken op 64-bit gebaseerde systemen, maar dat is nog niet aangetoond. Actief, grootschalig misbruik is hiermee dus onwaarschijnlijk.

Echter, vanwege de grote verspreiding en het brede gebruik van OpenSSH is het niet onaannemelijk dat bepaalde actoren, zoals de georganiseerde misdaad, ransomware-groepen of statelijke actoren, interesse in deze kwetsbaarheid krijgen en de energie investeren om werkende malware te bouwen.

Systemen met een actieve sshd-service, bereikbaar vanaf internet lopen het grootste risico. SSH is een populair protocol om op afstand systemen te beheren. Het verdient echter de afweging of de ssh-poort (TCP poort 22) actief en bereikbaar dient te zijn vanaf publieke netwerken.

De ontwikkelaars hebben een nieuwe versie van OpenSSH uitgebracht, OpenSSH 9.8/9.8p1.

Eigenaars van systemen waarvan de SSH software in eigen beheer is kunnen de broncode downloaden en compileren. Leveranciers van Linux-distro's en systemen waarin OpenSSH in de firmware is geïmplementeerd zullen deze broncode moeten verwerken in nieuwe releases van distributie-packages of nieuwe firmware. Houd hiervoor de communicatie van uw leverancier in de gaten.

Indien upgrades op korte termijn niet in te zetten zijn, kan als workaround in de sshd-configuratie de variabele 'LoginGraceTime' op 0 gezet worden. Hiermee wordt de tijd waarin een loginpoging mag 'wachten' op nul gezet, waardoor misbruik van de kwetsbaarheid niet mogelijk is. De consequentie van deze maatregel is echter wel dat het sshd-proces gevoelig gaat worden voor een Denial-of-Service. Het NCSC adviseert hier een eigen risico-afweging te maken, waarbij in de afweging meegenomen moet worden of het in eerste instantie noodzakelijk is dat de ssh-service in kwestie publiek toegankelijk moet zijn.

Zie verder bijgevoegde referenties voor meer informatie.