Kwetsbaarheid verholpen in OpenSSH

De ontwikkelaars van OpenSSH hebben een kwetsbaarheid verholpen in OpenSSH De kwetsbaarheid stelt een kwaadwillende in staat om zonder voorafgaande authenticatie willekeurige code uit te voeren met rechten van het sshd-proces. Het is niet uit te sluiten dat het ssh-proces met verhoogde rechten actief is, waardoor het mogelijk is dat de kwaadwillende code kan uitvoeren met rechten tot aan root. De kwetsbaarheid bevindt zich in een beperkt aantal versies. Versies van OpenSSH 8.5p1 en hoger, tot 9.7p1 zijn kwetsbaar, en versies tot aan 4.4p1, welke niet meer ondersteund worden. Versies tussen 4.4p1 en 8.5p1 zijn niet kwetsbaar. Dit komt omdat de kwetsbaarheid een regressie is van de eerder verholpen kwetsbaarheid met kenmerk CVE-2006-5051, welke in versie 4.4p1 is verholpen, maar in versie 8.5p1 herintroduceerd is. Daadwerkelijk misbruik is bijzonder ingewikkeld. Een kwaadwillende moet voor langere tijd connectiepogingen onderhouden. In een laboratoriumopstelling van de onderzoekers vereiste dat verbindingen van 6-8 uur, op 32-bit systemen. Theoretisch is het mogelijk om de kwetsbaarheid te misbruiken op 64-bit gebaseerde systemen, maar dat is nog niet aangetoond. Actief, grootschalig misbruik is hiermee dus onwaarschijnlijk. Echter, vanwege de grote verspreiding en het brede gebruik van OpenSSH is het niet onaannemelijk dat bepaalde actoren, zoals de georganiseerde misdaad, ransomware-groepen of statelijke actoren, interesse in deze kwetsbaarheid krijgen en de energie investeren om werkende malware te bouwen. Systemen met een actieve sshd-service, bereikbaar vanaf internet lopen het grootste risico. SSH is een populair protocol om op afstand systemen te beheren. Het verdient echter de afweging of de ssh-poort (standaard TCP poort 22, maar afhankelijk van de eigen installatie) actief en bereikbaar dient te zijn vanaf publieke netwerken. Er is Proof-of-Concept-code (PoC) gepubliceerd die de kwetsbaarheid kan aantonen, indien aan bovengenoemde tijdsrestricties wordt voldaan. De PoC is toegespitst op een specifieke distro, hetgeen aannemelijk maakt dat de PoC niet zondermeer generiek en grootschalig inzetbaar te maken is, zonder substantiële investering in resources. Door de lange benodigde tijd, in combinatie met het gegeven dat de code voor een specifiek doelwit geschikt gemaakt moet worden, is grootschalig misbruik niet aannemelijk. Het publiceren van de PoC toont wel aan dat de kwetsbaarheid de aandacht heeft van onderzoekers, en daarmee ook eventuele kwaadwillenden.