-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheid verholpen in OpenSSH Advisory ID : NCSC-2023-0654 Versie : 1.00 Kans : low CVE ID : CVE-2023-46445, CVE-2023-46446, CVE-2023-48795 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Omzeilen van beveiligingsmaatregel Toegang tot gevoelige gegevens Uitgiftedatum : 20231219 Toepassing : OpenSSH Versie(s) : < 9.6 Platform(s) : Beschrijving Er is een kwetsbaarheid verholpen in OpenSSH. Een kwaadwillende kan met behulp van een Man-in-the-Middle-aanval mogelijk de verbinding tussen een client en server verzwakken en zo toegang krijgen tot de gegevens die via deze verbinding worden verzonden. Deze Man-in-the-Middle-aanval heeft de naam 'Terrapin Attack' gekregen. Daadwerkelijk misbruik is niet eenvoudig te realiseren. De uiteindelijke schade is afhankelijk van de gebruikte opties van SSH en hoe deze zijn geconfigureerd. De verwachting is dat geen grootschalig misbruik zal plaatsvinden, maar dat misbruik van deze kwetsbaarheid beperkt en gericht zal zijn. De kwetsbaarheid is geregistreerd onder CVE-2023-48795, maar heeft ook de kenmerken CVE-2023-46445 en CVE-2023-46446 toegewezen gekregen. Mogelijke oplossingen De ontwikkelaars van OpenSSH hebben updates uitgebracht om de kwetsbaarheid te verhelpen in OpenSSH 9.6. Voor meer informatie, zie: https://www.openssh.com/txt/release-9.6 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-48795 Meer informatie over de 'Terrapin Attack': https://terrapin-attack.com/ Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- Version: Encryption Desktop 10.4.2 (Build 1298) Charset: utf-8 wsDVAwUBZYFm//4Vd0fJc7lbAQpsagv9FcQnAvUsHXjhTLkrKQe5Y51mB4V3Y0zu w1g/u9vKwiDmlvlxD4ZzwV6c3EZLofPqaFD7J8jVbgdM83DyJuJvlDO1+UQHHNkB LT2KCD7TdUJeymWVOlaKH9uRUSzGdCz9z7LugjQdzNOGjSIYnLiC70nI4XJWqQkj oQ3Ep1C+i+LXRAi8KMPhcE9xr8SSdNYEYH4aK38HcZ+0xv/UGxyeEEabrGHLb9Tp BCDa0bM4IiNT/G+M9HYWOLvOYT4hY73ey3cGMut64emxPE7eLIVkhv54h0XlVhZD FeUG5NVzmoLJC/DiW6c2cRH3TXa/ExaS3RfAo06Xkt/ow6EyR8jZrZbqHT/eOUIZ HVtlIcFQJureJKv8EX9DMwHoYnMre8fMuymKw/MugtYdFnRMhN3YqbyHd7ykYWcy db6GyLGZBme0yj4491lp0scppQ7Y7G6X8sqf+y8jg1tjx7kGZDv5l3NVy+dgpi/V VIV6xyoqGicqpmfBzLH/4m0K84lckJU+ =VoMe -----END PGP SIGNATURE-----