潜在的远程代码执行风险

报告2024 年 7 月 10 日编辑部漏洞/网络安全

OpenSSH 安全网络套件的某些版本容易受到新漏洞的影响，该漏洞可能导致远程代码执行 (RCE)。

该漏洞的编号为 CVE-2024-6409（CVSS 评分：7.0），与 CVE-2024-6387（又名 RegreSSHion）不同，与以下代码执行案例相关： 特殊婴儿手术 由于信号处理中的竞争条件。 仅影响 Red Hat Enterprise Linux 9 附带的版本 8.7p1 和 8.8p1。

该漏洞的发现和报告归功于安全研究员 Alexander Beslyak（又名 Solar Designer），他是在本月早些时候 Qualys 披露该漏洞后在审查 CVE-2024-6387 时发现的。

Peslyak 表示：“与 CVE-2024-6387 的主要区别在于，竞争条件和 RCE 功能是在 privsep 子进程中触发的，与主服务器进程相比，该子进程以较低的权限运行。” 他说。

“因此直接影响较小。但是，在给定场景中，这些漏洞的可利用性可能存在差异，这可能使它们中的任何一个对攻击者来说都更具吸引力，并且如果仅修复或缓解其中一个漏洞，其他的就变得更重要了。”

但需要注意的是，信号处理程序竞争条件漏洞与 CVE-2024-6387 中的相同，如果客户端未在 LoginGraceTime 秒（默认为 120）内进行身份验证，则 OpenSSH 服务器进程的 SIGALRM 处理程序将被异步调用，调用 after 所以各种函数对于异步信号来说都是不安全的。

“这个问题使设备容易受到 cleanup_exit() 函数中信号处理程序竞争条件的影响，这会在 SSHD 服务器的非特权子级中引入与 CVE-2024-6387 相同的漏洞，” 漏洞描述。

“攻击成功后，在最坏的情况下，攻击者可能能够在无权运行 sshd 服务器的用户中执行远程代码执行 (RCE)。”

CVE-2024-6387 漏洞此后已被积极利用 发现者 在野外，未知的威胁参与者主要针对位于中国的服务器。

“此攻击的初始向量源自 IP 地址 108.174.58[.]28“据报道，该目录托管一个列出漏洞利用工具和脚本的目录，用于自动利用易受攻击的 SSH 服务器”，以色列网络安全公司 Veriti 他说。