-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

######################## UPDATE 1.01 #############################

Titel           : Kwetsbaarheid verholpen in OpenSSH
Advisory ID     : NCSC-2024-0272
Versie          : 1.01
Kans            : medium
CVE ID          : CVE-2006-5051, CVE-2024-6387
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Concurrent Execution using Shared Resource with
                  Improper Synchronization ('Race Condition')
Uitgiftedatum   : 20240701
Toepassing      : openssh openssh
Versie(s)       :
Platform(s)     :

Update
   Typo's verwijderd.

Beschrijving
   De ontwikkelaars van OpenSSH hebben een kwetsbaarheid verholpen in
   OpenSSH

   De kwetsbaarheid stelt een kwaadwillende in staat om zonder
   voorafgaande authenticatie willekeurige code uit te voeren met
   rechten van het sshd-proces. Het is niet uit te sluiten dat het ssh-
   proces met verhoogde rechten actief is, waardoor het mogelijk is dat
   de kwaadwillende code kan uitvoeren met rechten tot aan root.
   De kwetsbaarheid bevindt zich in een beperkt aantal versies. Versies
   van OpenSSH 8.5p1 en hoger, tot 9.7p1 zijn kwetsbaar, en versies tot
   aan 4.4p1, welke niet meer ondersteund worden. Versies tussen 4.4p1
   en 8.5p1 zijn niet kwetsbaar. Dit komt omdat de kwetsbaarheid een
   regressie is van de eerder verholpen kwetsbaarheid met kenmerk
   CVE-2006-5051, welke in versie 4.4p1 is verholpen, maar in versie
   8.5p1 herintroduceerd is.
   Daadwerkelijk misbruik is bijzonder ingewikkeld. Een kwaadwillende
   moet voor langere tijd connectiepogingen onderhouden. In een
   laboratoriumopstelling van de onderzoekers vereiste dat verbindingen
   van 6-8 uur, op 32-bit systemen. Theoretisch is het mogelijk om de
   kwetsbaarheid te misbruiken op 64-bit gebaseerde systemen, maar dat
   is nog niet aangetoond.
   Actief, grootschalig misbruik is hiermee dus onwaarschijnlijk.
   Echter, vanwege de grote verspreiding en het brede gebruik van
   OpenSSH is het niet onaannemelijk dat bepaalde actoren, zoals de
   georganiseerde misdaad, ransomware-groepen of statelijke actoren,
   interesse in deze kwetsbaarheid krijgen en de energie investeren om
   werkende malware te bouwen.
   Systemen met een actieve sshd-service, bereikbaar vanaf internet
   lopen het grootste risico. SSH is een populair protocol om op afstand
   systemen te beheren. Het verdient echter de afweging of de ssh-poort
   (TCP poort 22) actief en bereikbaar dient te zijn vanaf publieke
   netwerken.

Mogelijke oplossingen
   De ontwikkelaars hebben een nieuwe versie van OpenSSH uitgebracht,
   OpenSSH 9.8/9.8p1.
   Eigenaars van systemen waarvan de SSH software in eigen beheer is
   kunnen de broncode downloaden en compileren. Leveranciers van Linux-
   distro's en systemen waarin OpenSSH in de firmware is geïmplementeerd
   zullen deze broncode moeten verwerken in nieuwe releases van
   distributie-packages of nieuwe firmware. Houd hiervoor de
   communicatie van uw leverancier in de gaten.
   Indien upgrades op korte termijn niet in te zetten zijn, kan als
   workaround in de sshd-configuratie de variabele 'LoginGraceTime' op 0
   gezet worden. Hiermee wordt de tijd waarin een loginpoging mag
   'wachten' op nul gezet, waardoor misbruik van de kwetsbaarheid niet
   mogelijk is. De consequentie van deze maatregel is echter wel dat het
   sshd-proces gevoelig gaat worden voor een Denial-of-Service. Het NCSC
   adviseert hier een eigen risico-afweging te maken, waarbij in de
   afweging meegenomen moet worden of het in eerste instantie
   noodzakelijk is dat de ssh-service in kwestie publiek toegankelijk
   moet zijn.
   Zie verder bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference - ibm; nvd
      https://www.openssh.com/releasenotes.html

      Reference - ncscclear
      https://www.securityweek.com/millions-of-openssh-servers-
      potentially-vulnerable-to-remote-regresshion-attack/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----

wsDzBAEBCgAdBQJmgqIqFiEEbfBszMuom42mJgp8sECQZ3v2JPIACgkQsECQZ3v2
JPJDWwv+O7Nz+cf9epO2kgBJNbDxji9I9kXnT6t/CeG0Hba+ObgJfiaKeCaEJo34
7iATvbA6sUHL3KQSohbs2fhzgaV05l5mNN/1Y/5aTwBCkDIIt9qStuGdMr+/wiVU
FdJ65iVMnjs+2ls06yF0gR0P213upAUFJa2tyGCx7iLkeBdMSoK4wRSz/0faor4l
gbnGOjxxUWtwaGM3HG+pu4/l+co3cEMcO8PtLlnMextRGtars9J7xH7ncTUgGiAq
oDBc+KHeEXKxifeRf8ZQfMWYR3SsifhbS0AJNqoiiFQ5oXJoGDILJ5nqFvKRy7D1
vRHwltpmsOTuG46aCyZjlKaLgpNujWL8eiQsKxlXrsqWxYq9uRxExd1RYxOgRJ1i
o2SCyudktvHKCxMy8Wkxzh15Hy2YRgdkdDTXkhaRJgfdh1hbUCNAZjc+7lR/3zGb
RpJ6TDoR/BdylpOOUZCw0PhQgjUE4NEGrXRaRGeSYDuXEC+LCCvkEHxliGGdXbnB
QPDd9NvF
=LlwR
-----END PGP SIGNATURE-----