-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheid verholpen in OpenSSH
Advisory ID     : NCSC-2024-0272
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2006-5051, CVE-2024-6387
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Concurrent Execution using Shared Resource with
                  Improper Synchronization ('Race Condition')
Uitgiftedatum   : 20240701
Toepassing      : openssh openssh
Versie(s)       :
Platform(s)     :

Beschrijving
   De ontwikkelaars van OpenSSH hebben een kwetsbaarheid verholpen in
   OpenSSH

   De kwetsbaarheid stelt een kwaadwillende in staat om zonder
   voorafgaande authenticatie willekeurige code uit te voeren met
   rechten van het sshd-proces. Het is niet uit te slutien dat het ssh-
   proces met verhoogde rechten actief is, waardoor het mogelijk is dat
   de kwaadwillende code kan uitvoeren met rechten tot aan root.
   De kwetsbaarheid bevindt zich in een beperkt aantal versies. Versies
   van OpenSSH 8.5p1 en hoger, tot 9.7p1 zijn kwetsbaar, en versies tot
   aan 4.4p1, welke niet meer ondersteund worden. Versies tussen 4.4p1
   en 8.5p1 zijn niet kwetsbaar. Dit komt omdat de kwetsbaarheid een
   regressie is van de eerder verholpen kwetsbaarheid met kenmerk
   CVE-2006-5051, welke in versie 4.4p1 is verholpen, maar in versie
   8.5p1 herintroduceerd is.
   Daadwerkelijk misbruik is bijzonder ingewikkeld. Een kwaadwillende
   moet voor langere tijd connectiepogingen onderhouden. In een
   laboratoriumopstelling van de onderzoekers vereiste dat verbindingen
   van 6-8 uur, op 32-bit systemen. Theoretisch is het mogelijk om de
   kwetsbaarheid te misbruiken op 64-bit gebaseerde systemen, maar dat
   is nog niet aangetoond.
   Actief, grootschalig misbruik is hiermee dus onwaarschijnlijk.
   Echter, vanwege de grote verspreiding en het brede gebruik van
   OpenSSH is het niet onaannemelijk dat bepaalde actoren, zoals de
   georganiseerde misdaad, ransomware-groepen of statelijke actoren,
   interesse in deze kwetsbaarheid krijgen en de energie investeren om
   werkende malware te bouwen.
   Systemen met een actieve sshd-service, bereikbaar vanaf internet
   lopen het grootste risico. SSH is een populair protocol om op afstand
   systemen te beheren. Het verdient echter de afweging op de ssh-poort
   (TCP poort 22) actief en bereikbaar dient te zijn vanaf publieke
   netwerken.

Mogelijke oplossingen
   De ontwikkelaars hebben een nieuwe versie van OpenSSH uitgebracht,
   OpenSSH 9.8/9.8p1.
   Eigenaars van systemen waarvan de SSH software in eigen beheer is
   kunnen de broncode downloaden en compileren. Leveranciers van Linux-
   distro's en systemen waarin OpenSSH in de firmware is geïmplementeerd
   zullen deze broncode moeten verwerken in nieuwe releases van
   distributie-packages of nieuwe firmware. Hou hiervoor de communicatie
   van uw leverancier in de gaten.
   Indien upgrades op korte termijn niet in te zetten zijn, kan als
   workaround in de sshd-configuratie de variabele 'LoginGraceTime' op 0
   gezet worden. Hiermee wordt de tijd waarin een loginpoging mag
   'wachten' op nul gezet, waardoor misbruik van de kwetsbaarheid niet
   mogelijk is. De consequentie van deze maatregel is echter wel dat het
   sshd-proces gevoelig gaat worden voor een Denial-of-Service. Het NCSC
   adviseert hier een eigen risico-afweging te maken, waarbij in de
   afweging meegenomen moet worden of het in eerste instantie
   noodzakelijk is om de ss-service in kwestie publiek toegankelijk moet
   zijn.
   Zie verder bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference - ibm; nvd
      https://www.openssh.com/releasenotes.html

      Reference - ncscclear
      https://www.securityweek.com/millions-of-openssh-servers-
      potentially-vulnerable-to-remote-regresshion-attack/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----

wsDzBAEBCgAdBQJmgp9mFiEEbfBszMuom42mJgp8sECQZ3v2JPIACgkQsECQZ3v2
JPKHogwAnFIYK7oCKEeOOUmsTOmFlRfLVZIPYBvYPSpPAuksTQJ7xTCWVhcDnQhF
5BaNyr5YASYVTHUF1H2krIIAeZL6BTOQkuKc7AZWvn8Fjx+EeFR7liIR/pAkGVBS
NRb2DK6MVKxRp7TPc8/NgTmTmPorqZwIGB8XYxvxQM2WcsZhXFB2/eFNfWruuKt9
Znu05f2UBGOSmdnvkkhOAFD68NQ6o3S1g+kEPrtP8d4iTBXEQ2IieQ025v61cc0g
vRzIAWDedvpEdOF3S9Qo4Gjkkh6XlBNWizh9gsHiplUC/XGlgciW8403H/XbRHxL
uORQ+wU0ao79GgjPudOUNeARaE+nu95gV8i+Qt1yc1WV9hlyr2p7MhkZB8chi+Jq
Y1InUMXqsP4xN10eenBuvFxqiQJEzfFtHuq/ohFaXs4CCejynbz0wbrvuAbKiq0W
8EUaxL65HXt/yuQEZeQoPs5gLaT45GtV4wV5+BzD/6etuFUZyaIpbbjKwrH2FQo7
Ms6TbYMy
=8/pj
-----END PGP SIGNATURE-----