OpenSSH - CVE-2024-6387
Date de publication :
Date de mise à jour :
Un défaut lié à une exécution concurrente (race condition) dans le gestionnaire d’ OpenSSH permet à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire avec les privilèges root.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire
Exploitation
La vulnérabilité exploitée est du type
CWE-364: Signal Handler Race Condition
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevé
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
OpenSSH :
Versions comprises entre 8.5p1 et 9.7p1
FreeBSD :
Versions 13.2 et antérieures
Version 13.3
Version 14.0
Version 14.1
Red Hat :
Red Hat Enterprise Linux 9
Ubuntu :
Versions 22.04, 23.10, 24.04
IBM :
IBM AIX versions 7.2 et 7.3
IBM VIOS version 3.1 et 4.1
IBM Db2 Cloud Pak for Data version 5.0
IBM Db2 Warehouse on Cloud Pak for Data version 5.0
Aruba Networking :
EdgeConnect SD-WAN Orchestrator toutes versions supportées sous Rocky Linux 9
Commutateurs ArubaOS-CX :
• Versions 10.10.1130 et antérieures
• Versions 10.11.1070 et antérieures
• Versions 10.12.1050 et antérieures
• Versions 10.13.1030 et antérieures
• Versions 10.14.0006 et antérieures
Aruba Fabric Composer versions 7.0.2 et antérieures
HPE :
HPE Networking Instant On versions firmware 2.9.1 et antérieures en mode Cloud avec le « support token » activé
Fortinet :
FortiWeb versions 7.2.0 à 7.2.9, 7.4.0 à 7.4.4 et 7.6.0
FortiWLC versions 8.6.0 à 8.6.7
FortiVoice versions 6.4.0 à 6.4.9, 7.0.0 à 7.0.2
FortiTester versions 7.2.0 à 7.2.3, 7.3.0 à 7.3.2, 7.4.0 à 7.4.2
FortiSwitch versions 7.2.0 à 7.2.8, 7.4.0 à 7.4.3
FortiRecorder versions 6.0.0 à 6.0.12, 6.4.0 à 6.4.5, 7.0.0 à 7.0.4, 7.2.0 à 7.2.1
FortiNAC-F versions 7.2.0 à 7.2.6 et 7.4.0
FortiManager Cloud versions 7.0.6 à 7.0.7, 7.0.10, 7.0.12, 7.2.1, 7.2.3 à 7.2.4
FortiManager versions 6.4.0 à 6.4.14, 7.0.0 à 7.0.12, 7.2.0 à 7.2.5, 7.4.0 à 7.4.3
FortiMail versions 6.4.0 à 6.4.8, 7.0.0 à 7.0.7, 7.2.0 à 7.2.6, 7.4.0 à 7.4.2
FortiLANCloud versions 22 et 23 toutes versions
FortiExtender versions 7.0.0 à 7.0.5, 7.2.0 à 7.2.5, 7.4.0 à 7.4.5
FortiDeceptor versions 5.2.0, 5.3.0 à 5.3.1
FortiDDoS-F versions 7.0.0 à 7.0.1
FortiDDoS versions 5.7.0 à 5.7.3
FortiAuthenticator versions 6.6.0 à 6.6.1
FortiAnalyzer-BigData versions 7.4.0
FortiAnalyzer versions 6.4.0 à 6.4.14, 7.0.0 à 7.0.12, 7.2.0 à 7.2.5, 7.4.0 à 7.4.3
FortiAIOps versions 2.0.0 à 2.0.1
FortiADC versions 7.2.0 à 7.2.6, 7.4.0 à 7.4.4
Juniper Networks :
Junos OS versions 24.2.X antérieures à 24.2R1-S2 et 24.2R2
Junos OS Evolved versions 24.2.x-EVO antérieures à 24.2R1-S2-EVO et 24.2R2-EVO
Contournement provisoire
Lorsque le correctif ne peut pas être déployé Qualys recommande de modifier la valeur de LoginGraceTime à 0 dans le fichier de configuration. Cela empêche l’exécution de commande arbitraire, toutefois la machine sera vulnérable à un déni de service.
Solutions ou recommandations
Mettre à jour OpenSSH vers la version 9.8 ou ultérieure.
Mettre à jour FreeBSD vers la version 13.2-RELEASE-p12, 13.3-RELEASE-p4, 14.0-RELEASE-p8, 14.1-RELEASE-p2 ou ultérieure.
Appliquer la mise à jour RHSA-2024:4312 à Red Hat Enterprise.
Mettre à jour les paquets OpenSSH pour Ubuntu vers la version 1:8.9p1-3ubuntu0.10, 1:9.3p1-1ubuntu3.6, 1:9.3p1-1ubuntu3.6, 1:9.6p1-3ubuntu13.3 ou ultérieure.
Télécharger le correctif [openssh_fix17.tar] pour IBM AIX et VIOS. Des informations complémentaires sont disponibles dans le bulletin d’IBM.
Appliquer le correctif 11.5.9.0-cn1 pour IBM Db2.
Pour EdgeConnect SD-WAN Orchestrator, mettre à jour le paquet openssh via la commande yum update ou télécharger le paquet rpm yum_rpms_Rocky_Linux_20240708.tar.gz sur le site du support HPE.
Mettre à jour les commutateurs ArubaOS-CX vers la version 10.10.1131, 10.13.1031, 10.14.0007 ou ultérieure (disponibilité estimée à mi-juillet 2024).
Mettre à jour Aruba Fabric Composer vers la version 7.0.3 ou ultérieure (disponibilité estimée à mi-juillet 2024).
Pour Aruba Instant On, le firmware va se mettre à jour automatiquement vers la version 3.0.0 (disponibilité estimée à fin juillet 2024). Il est recommandé de vérifier que les équipements sont connectés à internet pour recevoir les mises à jour automatiques et de désactiver le « support token » dans l’attente du correctif.
Mettre à jour Fortinet :
• FortiWeb vers la version 7.2.10, 7.4.5, 7.6.1 ou ultérieure,
• FortiWLC vers la version 8.6.8 ou ultérieure,
• FortiVoice vers la version 6.4.10, 7.0.3 ou ultérieure,
• FortiTester vers la version 7.2.4, 7.3.3, 7.4.3 ou ultérieure,
• FortiSwitch vers la version 7.2.9, 7.4.4 ou ultérieure,
• FortiRecorder vers la version 6.0.13, 6.4.6, 7.0.5, 7.2.2 ou ultérieure,
• FortiNAC-F vers la version 7.2.7, 7.4.1 ou ultérieure,
• FortiManager Cloud vers la version 7.0.13, 7.0.13, 7.2.7 ou ultérieure,
• FortiManager vers la version 6.4.15, 7.0.13, 7.2.6, 7.4.4 ou ultérieure,
• FortiMail vers la version 6.4.9, 7.0.8, 7.2.7, 7.4.3 ou ultérieure,
• FortiExtender vers la version 7.0.6, 7.2.6, 7.4.6 ou ultérieure,
• FortiDeceptor vers la version 5.2.1, 5.3.2 ou ultérieure,
• FortiDDoS-F vers la version 7.0.2 ou ultérieure,
• FortiDDoS vers la version 5.7.4 ou ultérieure,
• FortiAuthenticator vers la version 6.6.2 ou ultérieure,
• FortiAnalyzer-BigData vers la version 7.4.1 ou ultérieure,
• FortiAnalyzer vers la version 6.4.15, 7.0.13, 7.2.6, 7.4.4 ou ultérieure,
• FortiAIOps vers la version 2.0.2 ou ultérieure,
• FortiADC vers la version 7.2.7, 7.4.5 ou ultérieure.
Mettre à jour Juniper Networks Junos OS vers la version 24.2R1-S2, 24.2R2, 24.4R1 ou ultérieure.
Mettre à jour Juniper Networks Junos OS Evolved vers la version 24.2R1-S2-EVO, 24.2R2-EVO, 24.4R1-EVO ou ultérieure.
Des informations complémentaires sont disponibles dans le bulletin de OpenSSH, d'Ubuntu, de Red Hat, de FreeBSD, d'Aruba, de Fortinet et de Juniper.