-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.02 #############################
Titel : Kwetsbaarheid verholpen in OpenSSH
Advisory ID : NCSC-2024-0272
Versie : 1.02
Kans : medium
CVE ID : CVE-2006-5051, CVE-2024-6387
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
Signal Handler Race Condition
Concurrent Execution using Shared Resource with
Improper Synchronization ('Race Condition')
Uitgiftedatum : 20240701
Toepassing : openssh openssh
Versie(s) :
Platform(s) :
Update
Er is Proof-of-Concept-code (PoC) verschenen die de kwetsbaarheid
aantoont, gegeven voldoende tijd om de voorwaardelijke race-conditie
uit te laten lopen. Handelingsperspectieven uitgebreid.
Beschrijving
De ontwikkelaars van OpenSSH hebben een kwetsbaarheid verholpen in
OpenSSH
De kwetsbaarheid stelt een kwaadwillende in staat om zonder
voorafgaande authenticatie willekeurige code uit te voeren met
rechten van het sshd-proces. Het is niet uit te sluiten dat het ssh-
proces met verhoogde rechten actief is, waardoor het mogelijk is dat
de kwaadwillende code kan uitvoeren met rechten tot aan root.
De kwetsbaarheid bevindt zich in een beperkt aantal versies. Versies
van OpenSSH 8.5p1 en hoger, tot 9.7p1 zijn kwetsbaar, en versies tot
aan 4.4p1, welke niet meer ondersteund worden. Versies tussen 4.4p1
en 8.5p1 zijn niet kwetsbaar. Dit komt omdat de kwetsbaarheid een
regressie is van de eerder verholpen kwetsbaarheid met kenmerk
CVE-2006-5051, welke in versie 4.4p1 is verholpen, maar in versie
8.5p1 herintroduceerd is.
Daadwerkelijk misbruik is bijzonder ingewikkeld. Een kwaadwillende
moet voor langere tijd connectiepogingen onderhouden. In een
laboratoriumopstelling van de onderzoekers vereiste dat verbindingen
van 6-8 uur, op 32-bit systemen. Theoretisch is het mogelijk om de
kwetsbaarheid te misbruiken op 64-bit gebaseerde systemen, maar dat
is nog niet aangetoond.
Actief, grootschalig misbruik is hiermee dus onwaarschijnlijk.
Echter, vanwege de grote verspreiding en het brede gebruik van
OpenSSH is het niet onaannemelijk dat bepaalde actoren, zoals de
georganiseerde misdaad, ransomware-groepen of statelijke actoren,
interesse in deze kwetsbaarheid krijgen en de energie investeren om
werkende malware te bouwen.
Systemen met een actieve sshd-service, bereikbaar vanaf internet
lopen het grootste risico. SSH is een populair protocol om op afstand
systemen te beheren. Het verdient echter de afweging of de ssh-poort
(standaard TCP poort 22, maar afhankelijk van de eigen installatie)
actief en bereikbaar dient te zijn vanaf publieke netwerken.
Er is Proof-of-Concept-code (PoC) gepubliceerd die de kwetsbaarheid
kan aantonen, indien aan bovengenoemde tijdsrestricties wordt
voldaan. De PoC is toegespitst op een specifieke distro, hetgeen
aannemelijk maakt dat de PoC niet zondermeer generiek en grootschalig
inzetbaar te maken is, zonder substantiële investering in resources.
Door de lange benodigde tijd, in combinatie met het gegeven dat de
code voor een specifiek doelwit geschikt gemaakt moet worden, is
grootschalig misbruik niet aannemelijk. Het publiceren van de PoC
toont wel aan dat de kwetsbaarheid de aandacht heeft van
onderzoekers, en daarmee ook eventuele kwaadwillenden.
Mogelijke oplossingen
De ontwikkelaars hebben een nieuwe versie van OpenSSH uitgebracht,
OpenSSH 9.8/9.8p1.
Eigenaars van systemen waarvan de SSH software in eigen beheer is
kunnen de broncode downloaden en compileren. Leveranciers van Linux-
distro's en systemen waarin OpenSSH in de firmware is geïmplementeerd
zullen deze broncode moeten verwerken in nieuwe releases van
distributie-packages of nieuwe firmware. Houd hiervoor de
communicatie van uw leverancier in de gaten.
Indien upgrades op korte termijn niet in te zetten zijn, kan als
workaround in de sshd-configuratie de variabele 'LoginGraceTime' op 0
gezet worden. Hiermee wordt de tijd waarin een loginpoging mag
'wachten' op nul gezet, waardoor misbruik van de kwetsbaarheid niet
mogelijk is. De consequentie van deze maatregel is echter wel dat het
sshd-proces gevoelig gaat worden voor een Denial-of-Service. Het NCSC
adviseert hier een eigen risico-afweging te maken, waarbij in de
afweging meegenomen moet worden of het in eerste instantie
noodzakelijk is dat de ssh-service in kwestie publiek toegankelijk
moet zijn.
Ook adviseert het NCSC om monitoring toe te passen op in gebruik
zijnde SSH-services met een publieke toegang, en in de gaten te
houden of herhaaldelijk sessies worden opgebouwd die uit hun
gracetime lopen, de tijd waarin een login afgerond dient te zijn.
Het NCSC houdt de ontwikkelingen in de gaten en werkt dit
beveiligingsadvies bij wanneer relevante ontwikkelingen zich
voordoen.
Zie verder bijgevoegde referenties voor meer informatie.
Referenties:
Reference - ibm; nvd
https://www.openssh.com/releasenotes.html
Reference - ncscclear
https://www.securityweek.com/millions-of-openssh-servers-
potentially-vulnerable-to-remote-regresshion-attack/
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----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=pVdb
-----END PGP SIGNATURE-----
