-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### ######################## UPDATE 1.01 ############################# Titel : Kwetsbaarheden verholpen in OpenSSH Advisory ID : NCSC-2023-0654 Versie : 1.01 Kans : medium CVE ID : CVE-2023-6004, CVE-2023-46445, CVE-2023-46446, CVE-2023-48795, CVE-2023-51385 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: http://cve.mitre.org/cve/) Schade : high Omzeilen van beveiligingsmaatregel (Remote) code execution (Gebruikersrechten) Toegang tot gevoelige gegevens Uitgiftedatum : 20231228 Toepassing : OpenSSH Versie(s) : < 9.6 Platform(s) : Update Er zijn twee aanvullende kwetsbaarheden (CVE-2023-51385 en CVE-2023-6004) aan dit beveiligingsadvies toegevoegd. De kwetsbaarheden bevinden zich in de ProxyCommand functionaliteit en kunnen door een kwaadwillende misbruikt worden om willekeurige commando's uit te voeren. Ook heeft een onderzoeker Proof-of-Concept-code (PoC) gepubliceerd waarmee de kwetsbaarheid met kenmerk CVE-2023-51385 kan worden aangetoond. Het NCSC past hierom de inschaling van dit beveiligingsadvies aan naar MEDIUM/HIGH en adviseert om de update in te zetten en de geadviseerde mitigerende maatregelen toe te passen. Beschrijving Er is een kwetsbaarheid verholpen in OpenSSH. Een kwaadwillende kan met behulp van een Man-in-the-Middle-aanval mogelijk de verbinding tussen een client en server verzwakken en zo toegang krijgen tot de gegevens die via deze verbinding worden verzonden. Deze Man-in-the-Middle-aanval heeft de naam 'Terrapin Attack' gekregen. Daadwerkelijk misbruik is niet eenvoudig te realiseren. De uiteindelijke schade is afhankelijk van de gebruikte opties van SSH en hoe deze zijn geconfigureerd. De verwachting is dat geen grootschalig misbruik zal plaatsvinden, maar dat misbruik van deze kwetsbaarheid beperkt en gericht zal zijn. De kwetsbaarheid is geregistreerd onder CVE-2023-48795, maar heeft ook de kenmerken CVE-2023-46445 en CVE-2023-46446 toegewezen gekregen. Mogelijke oplossingen De ontwikkelaars van OpenSSH hebben updates uitgebracht om de kwetsbaarheid te verhelpen in OpenSSH 9.6. Voor meer informatie, zie: https://www.openssh.com/txt/release-9.6 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-48795 Meer informatie over de 'Terrapin Attack': https://terrapin-attack.com/ Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- Version: Encryption Desktop 10.4.2 (Build 1298) Charset: utf-8 wsDVAwUBZY2A+P4Vd0fJc7lbAQpfHwv/XCdXfRxm/PpKp5Ib0Mq156PCUg9gh+Fw 90ljBiOz6u37RAQbWY4aScMRGWs/LcZq2hxeBqfaa5Xjjfk9bvjsoCMRlWN96o56 vQr3OnlveGoWUvyP2rw1Dd0Zeql4usk7aZg+pt/J04FuVBKmJDCa0x348L23Ph6o 159TRV4zJ/vu4rV2Zsy/WKWMALuQu0B50FjR52vGjHNv+iyq2QX9Xe8PxaJS96nW 3+MbkkMKDskBZlrKXQOeOsc3YhqbggLiSyd/Dl+bNVeW7/PLkaw91uKMZeyp4Wzy fi1sibcFCkk66i5NIYaPeCVNotlgrm6WsDu9Xa8g5D3s+2L57RmYu4ESspL/IHys 3tMlf1mgGnmBFmk7LDFgE0acET6FdhgrU7ykrlkME1RebeIJT6Gg25pfOd/UhDgl ky3Wcp4ESoB2c/mqiAE0mrZ+gMPVIMF2U0zo0mdB01tywvAITLSff+5Ace20QEkc mogX4HWq5+h4nsf+m3qrDRSexWbbnrIQ =Rygu -----END PGP SIGNATURE-----