OpenSSH - CVE-2024-6387
Date de publication :
Date de mise à jour :
Un défaut lié à une exécution concurrente (race condition) dans le gestionnaire d’ OpenSSH permet à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire avec les privilèges root.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire
Exploitation
La vulnérabilité exploitée est du type
CWE-364: Signal Handler Race Condition
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevé
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
OpenSSH :
Versions comprises entre 8.5p1 et 9.7p1
FreeBSD :
Versions 13.2 et antérieures
Version 13.3
Version 14.0
Version 14.1
Red Hat :
Red Hat Enterprise Linux 9
Ubuntu :
Versions 22.04, 23.10, 24.04
IBM :
IBM AIX versions 7.2 et 7.3
IBM VIOS version 3.1 et 4.1
IBM Db2 Cloud Pak for Data version 5.0
IBM Db2 Warehouse on Cloud Pak for Data version 5.0
Aruba Networking :
EdgeConnect SD-WAN Orchestrator toutes versions supportées sous Rocky Linux 9
Commutateurs ArubaOS-CX :
• Versions 10.10.1130 et antérieures
• Versions 10.11.1070 et antérieures
• Versions 10.12.1050 et antérieures
• Versions 10.13.1030 et antérieures
• Versions 10.14.0006 et antérieures
Aruba Fabric Composer versions 7.0.2 et antérieures
HPE Networking Instant On versions firmware 2.9.1 et antérieures en mode Cloud avec le « support token » activé
Contournement provisoire
Lorsque le correctif ne peut pas être déployé Qualys recommande de modifier la valeur de LoginGraceTime à 0 dans le fichier de configuration. Cela empêche l’exécution de commande arbitraire, toutefois la machine sera vulnérable à un déni de service.
Solutions ou recommandations
Mettre à jour OpenSSH vers la version 9.8 ou ultérieure.
Mettre à jour FreeBSD vers la version 13.2-RELEASE-p12, 13.3-RELEASE-p4, 14.0-RELEASE-p8, 14.1-RELEASE-p2 ou ultérieure.
Appliquer la mise à jour RHSA-2024:4312 à Red Hat Enterprise.
Mettre à jour les paquets OpenSSH pour Ubuntu vers la version 1:8.9p1-3ubuntu0.10, 1:9.3p1-1ubuntu3.6, 1:9.3p1-1ubuntu3.6, 1:9.6p1-3ubuntu13.3 ou ultérieure.
Télécharger le correctif [openssh_fix17.tar] pour IBM AIX et VIOS. Des informations complémentaires sont disponibles dans le bulletin d’IBM.
Appliquer le correctif 11.5.9.0-cn1 pour IBM Db2.
Pour EdgeConnect SD-WAN Orchestrator, mettre à jour le paquet openssh via la commande yum update ou télécharger le paquet rpm yum_rpms_Rocky_Linux_20240708.tar.gz sur le site du support HPE.
Mettre à jour les commutateurs ArubaOS-CX vers la version 10.10.1131, 10.13.1031, 10.14.0007 ou ultérieure (disponibilité estimée à mi-juillet 2024).
Mettre à jour Aruba Fabric Composer vers la version 7.0.3 ou ultérieure (disponibilité estimée à mi-juillet 2024).
Pour Aruba Instant On, le firmware va se mettre à jour automatiquement vers la version 3.0.0 (disponibilité estimée à fin juillet 2024). Il est recommandé de vérifier que les équipements sont connectés à internet pour recevoir les mises à jour automatiques et de désactiver le « support token » dans l’attente du correctif.
Des informations complémentaires sont disponibles dans le bulletin de OpenSSH, de Ubuntu, de Red Hat, de FreeBSD et d'Aruba.