Správci OpenSSH vydali bezpečnostní aktualizace, které obsahují kritickou bezpečnostní chybu, která by mohla vést k neověřenému vzdálenému spuštění kódu s oprávněními root v systémech Linux založených na glibc.
Chybě zabezpečení s kódovým označením regreSSHion byl přiřazen identifikátor CVE CVE-2024-6387. Nachází se v komponentě serveru OpenSSH, označované také jako sshd, která je navržena tak, aby naslouchala připojením z libovolné klientské aplikace.
„Zranitelnost, která je konfliktem časování obsluhy signálu na serveru OpenSSH (sshd), umožňuje neautentizované vzdálené spuštění kódu (RCE) jako root na linuxových systémech založených na glibc,“ uvedl Bharat Jogi, vrchní ředitel oddělení výzkumu hrozeb ve společnosti Qualys. „Tento konflikt časování ovlivňuje sshd ve výchozí konfiguraci.“
Firma zabývající se kybernetickou bezpečností uvedla, že identifikovala ne méně než 14 milionů potenciálně zranitelných instancí serverů OpenSSH vystavených internetu, a dodala, že se jedná o regresi již opravené 18 let staré chyby sledované jako CVE-2006-5051, přičemž problém byl obnoven v říjnu 2020 jako součást OpenSSH verze 8.5p1.
„Úspěšné zneužití bylo demonstrováno na 32bitových systémech Linux/glibc s randomizací rozložení adresního prostoru,“ uvedla společnost OpenSSH ve své zprávě. „V laboratorních podmínkách vyžaduje útok v průměru 6-8 hodin nepřetržitého připojení až do maxima, které je server schopen akceptovat.“
Tato chyba zabezpečení se týká verzí mezi 8.5p1 a 9.7p1. Verze starší než 4.4p1 jsou také zranitelné vůči chybě konfliktu časování, pokud nejsou opraveny pro chyby CVE-2006-5051 a CVE-2008-4109. Stojí za zmínku, že OpenBSD systémy nejsou ovlivněny, protože obsahují bezpečnostní mechanismus, který blokuje chybu.
Je pravděpodobné, že bezpečnostní nedostatek se týká také macOS i Windows, i když jeho zneužitelnost na těchto platformách zůstává nepotvrzená a vyžaduje další analýzu.
Konkrétně Qualys zjistil, že pokud se klient neověří do 120 sekund (nastavení definované pomocí LoginGraceTime), pak se obslužná rutina SIGALRM sshd volá asynchronně způsobem, který není bezpečný pro asynchronní signál.
Čistým důsledkem zneužití CVE-2024-6387 je úplná kompromitace a převzetí systému, které aktérům hrozeb umožňuje spouštět libovolný kód s nejvyššími oprávněními, podkopávat bezpečnostní mechanismy, krást data a dokonce udržovat trvalý přístup.
„Chyba, jakmile byla jednou opravena, se znovu objevila v následující verzi softwaru, obvykle kvůli změnám nebo aktualizacím, které neúmyslně znovu zavádějí problém,“ řekl Jogi. „Tento incident zdůrazňuje klíčovou roli důkladného regresního testování, aby se zabránilo opětovnému zavedení známých zranitelností do prostředí.“
I když má tato chyba zabezpečení významné překážky kvůli své povaze vzdáleného časování, uživatelům se doporučuje použít nejnovější opravy k zabezpečení před potenciálními hrozbami. Doporučuje se také omezit přístup SSH prostřednictvím síťových ovládacích prvků a vynutit segmentaci sítě, aby se omezil neoprávněný přístup a laterální pohyb.
Firmy Palo Alto Networks Unit 42 a Wiz, které se zabývají kybernetickou bezpečností, uvedly, že je nepravděpodobné, že by zranitelnost byla vystavena rozsáhlému nebo oportunistickému zneužití, vzhledem k tomu, že útočník musí předem vědět, na jakou distribuci Linuxu se zaměřuje, aby mohl vytvořit funkční exploit.
Dalším faktorem, který pravděpodobně zabrání jeho hromadnému zneužití, je skutečnost, že útok může trvat až osm hodin a vyžadovat až 10 000 kroků ověření, jak upozorňuje společnost Kaspersky, i když nevylučuje možnost vysoce cíleného zneužití.
„Specifická povaha konfliktu časování a jeho využití vyžaduje značný počet pokusů k dosažení úspěšného provedení, s různou mírou úspěšnosti v závislosti na verzi a prostředí,“ řekl Oligo.
Společnost Akamai ve svém vlastním informačním zpravodaji poznamenala, že hlavní příčinou problému je konflikt časování způsobený nebezpečným zpracováním signálů při vypršení časového limitu ověřování uživatelů.
„Po vypršení časového limitu je generován signál SIGALRM, který způsobí přerušení vlákna, které provádí rutinu správy haldy,“ vysvětlil. „Pokud obslužná rutina signálu sama volá rutinu správy haldy, může to způsobit neočekávané chování a v tomto případě spustit libovolný kód.“
Omkhar Arasaratnam z OpenSSF řekl, že zranitelnost OpenSSH zdůrazňuje důležitost dodržování bezpečných vývojových postupů v open-source, zejména v „dlouhodobých projektech, které jsou základem pro společnosti po celém světě.“
„Je to také připomínka toho, že ne všechny zranitelnosti jsou způsobeny úmyslně, jak jsme nedávno viděli u XZ Utils,“ řekl. „Regrese kódu jsou běžné, a proto je neustálé a důkladné testování zásadním krokem, který nelze přehlížet.“
„Komunita s otevřeným zdrojovým kódem musí také zůstat ostražitá při vyhodnocování kódu s otevřeným zdrojovým kódem, který používá, udržovat přehled o aktualizacích a dodržovat zásady bezpečného vývoje softwaru.“
Společnost Cisco odhalila, že několik jejích produktů je zranitelných vůči CVE-2024-6387 (skóre CVSS: 8,1) a že v příštích několika měsících plánuje vydat aktualizace softwaru.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
