CVE-2024-6387 OpenSSH-Signal-Race-Condition-Schwachstellenanalyse

Schwachstellenübersicht

CVE-2024-6387 ist eine Signalverarbeitungs-Race-Condition-Schwachstelle in den OpenSSH-Versionen 8.5p1 bis 9.7p1, die als "regreSSHion" bezeichnet wird. Angreifer können innerhalb von 6-8 Stunden kontinuierlich versuchen, beliebigen Code mit Root-Rechten auszuführen. Betroffen sind weltweit etwa 14 Millionen Server.

Betroffene Versionen

OpenSSH 8.5p1 ~ 9.7p1 (Ubuntu 22.04-Standardversion 8.9p1 ist betroffen

Funktionsweise der Schwachstelle

OpenSSH verwendet das SIGALRM-Signal zur Behandlung von Anmelde-Timeouts
Während der Ausführung der Signalbehandlungsfunktion können andere Threads gleichzeitig auf den Heap-Speicher zugreifen
Die Race-Condition führt zu Heap-Speicherbeschädigung und kann den Programmablauf kapern
Letztendlich wird eine Root-Shell erlangt

Reproduktionsumgebung

Betriebssystem: Ubuntu 22.04.5 LTS

OpenSSH-Version: 8.9p1

Zieladresse: 127.0.0.1:22

Erkennungsskript

#!/bin/bash
# check_cve_2024_6387.sh

TARGET=${1:-127.0.0.1}
PORT=22

echo "[*] CVE-2024-6387 漏洞检测"
echo "[*] 目标: $TARGET:$PORT"

for i in {1..1000}; do
    timeout 1 nc -zv $TARGET $PORT 2>/dev/null
    if [ $((i % 100)) -eq 0 ]; then
        echo "[*] 已完成 $i 次连接"
    fi
done

echo "[+] 检测完成"
echo "[*] 请检查系统日志: sudo tail -20 /var/log/auth.log"

Ausführungsergebnis

[] CVE-2024-6387 OpenSSH-Schwachstellenerkennung

[] Ziel: 127.0.0.1:22

[] 100 Verbindungen abgeschlossen

[] 200 Verbindungen abgeschlossen ... [] 1000 Verbindungen abgeschlossen

[+] Erkennung abgeschlossen, benötigte 5 Sekunden

Behebungsmaßnahmen

OpenSSH aktualisieren: sudo apt update sudo apt upgrade openssh-server

Version überprüfen: ssh -V (sollte 9.7p1 oder höher anzeigen

Notfallmaßnahme: Verbindungsrate begrenzen iptables -A INPUT -p tcp --dport 22 -m limit --limit 1/minute -j ACCEPT

fail2ban installieren: sudo apt install fail2ban sudo systemctl enable fail2ban

Projektstruktur

README.md

CVE-2024-6387-analysis.md

check_cve_2024_6387.sh

Referenzen

NVD - CVE-2024-6387

Qualys Security Advisory

Autor

Doux-x

CVE-2024-6387-analysis

Beliebteste