Plus de 14 millions de serveurs peuvent être vulnérables à la faille de RCE regreSSHion d'OpenSSH. Voici ce que vous devez faire.

OpenSSH, la pierre angulaire de l'accès réseau sécurisé sous Linux, présente une grave vulnérabilité de sécurité.

Tenez bon à vos clés SSH, les amis ! Une vulnérabilité critique vient de secouer OpenSSH, la fondation d'accès distant sécurisé de Linux, provoquant des sueurs froides chez les administrateurs système chevronnés.

"RegreSSHion" et identifié comme CVE-2024-6387, ce vilain bug permet l'exécution de code à distance non authentifiée (RCE) sur les serveurs OpenSSH fonctionnant sur des systèmes Linux basés sur glibc. Nous ne parlons pas d'une simple élévation de privilèges ici -- cette faille offre un accès root complet sur un plateau d'argent.

Pour ceux qui ont déjà fait un tour du côté de Linux, cela ressemble à du déjà vu. La vulnérabilité est une régression de CVE-2006-5051, un bug corrigé en 2006. Cet ancien ennemi a réussi à se glisser à nouveau dans le code en octobre 2020 avec OpenSSH 8.5p1.

Heureusement, l'unité de recherche sur les menaces de Qualys a découvert ce squelette numérique dans le placard d'OpenSSH. Malheureusement, cette vulnérabilité affecte la configuration par défaut et ne nécessite aucune interaction de la part de l'utilisateur pour être exploitée. En d'autres termes, c'est une vulnérabilité qui empêche les professionnels de la sécurité de dormir la nuit.

Il est difficile de surestimer l'impact potentiel de ce défaut. OpenSSH est le standard de facto pour l'accès distant sécurisé et le transfert de fichiers dans les systèmes de type Unix, y compris Linux et macOS. C'est le couteau suisse de la communication sécurisée pour les administrateurs système et les développeurs du monde entier.

La bonne nouvelle est que toutes les distributions Linux n'ont pas le code vulnérable. Les anciennes versions d'OpenSSH antérieures à 4.4p1 sont vulnérables à cette condition de course dans le gestionnaire de signaux, à moins qu'elles ne soient corrigées pour les CVE-2006-5051 et CVE-2008-4109.

Les versions de 4.4p1 jusqu'à, mais n'incluant pas, 8.5p1 ne sont pas vulnérables. La mauvaise nouvelle est que la vulnérabilité est réapparue dans OpenSSH 8.5p1 jusqu'à, mais n'incluant pas, 9.8p1 en raison de la suppression accidentelle d'un composant critique.

Qualys a trouvé plus de 14 millions d'instances de serveurs OpenSSH potentiellement vulnérables sur internet. La société estime qu'environ 700 000 de ces instances accessibles sur internet sont définitivement vulnérables.

Un correctif, OpenSSH 9.8/9.8p1 est maintenant disponible. Beaucoup, mais pas tous, les distributions Linux l'ont rendu disponible. Si vous pouvez l'obtenir, installez-le dès que possible.

Si vous ne pouvez pas installer un patch pour une raison quelconque, envisagez de vous protéger contre la vulnérabilité regreSSHion en définissant LoginGraceTime à 0 dans le fichier de configuration sshd (par défaut, ce fichier est /etc/ssh/sshd_config). Ce paramètre n'est pas une solution parfaite ; il empêchera les exploitations mais expose vos systèmes à de potentielles attaques par déni de service (DoS).

Ainsi, assurez-vous de restreindre l'accès SSH à votre serveur en utilisant des contrôles basés sur le réseau pour limiter les vecteurs d'attaque potentiels. Puisque ce type d'attaque nécessite beaucoup d'efforts, vous devriez configurer votre pare-feu et vos outils de surveillance réseau pour détecter et bloquer le grand nombre de connexions nécessaires pour exploiter cette vulnérabilité.

Enfin, gardez un œil sur les correctifs OpenSSH. Ils seront bientôt disponibles. Dès qu'ils seront disponibles, appliquez les correctifs dès que possible.

Vous pouvez réduire considérablement votre exposition à la faille de sécurité regreSSHion en mettant en œuvre ces mesures -- et vous serez heureux de l'avoir fait.