Scanner_CVE_OpenSSH

Scanner zur Identifizierung von Servern mit SSH-Software, die möglicherweise anfällig für die CVEs CVE-2024-6387 und CVE-2023-48795 ist.

Abgedeckte CVEs

CVE-2024-6387 — regreSSHion

Race Condition im SIGALRM-Signalhandler des OpenSSH-Servers ermöglicht nicht authentifiziertes RCE als Root auf Linux-Systemen mit glibc. Betrifft alle OpenSSH-Versionen vor 9.8p1.

CVE-2023-48795 — Terrapin

Prefix-Truncation-Angriff auf den SSH-Handshake (binäres Protokoll), der es einem MITM-Gegner erlaubt, ausgehandelte Sicherheitserweiterungsnachrichten zu Beginn der Sitzung zu entfernen. Betrifft OpenSSH < 9.6.

Wie es funktioniert

Das Skript verbindet sich direkt mit dem SSH-Port der Ziele und liest das Identifikationsbanner (z. B. SSH-2.0-OpenSSH_9.7), ohne Anmeldeinformationen zu senden. Anhand der Version vergleicht es mit den behobenen Versionen jeder CVE und klassifiziert den Host.

Ziel → TCP-Verbindung Port 22 → Lesen des SSH-Banners → Identifikation der Software
     → Parsen der OpenSSH-Version → Vergleich mit behobenen Versionen → Klassifizierung + Log + CSV

Das Skript identifiziert außerdem den Hersteller/die SSH-Software anhand des Banners und erkennt:

Anforderungen

pip install requests packaging urllib3 dnspython

dnspython ist optional, aber sehr empfehlenswert – die parallele Reverse-Auflösung ist damit deutlich schneller. Ohne dnspython verwendet das Skript socket als Fallback.

Verwendung

# IP individual
python ssh_scanner.py --ip 192.168.1.10

# Faixa CIDR
python ssh_scanner.py --cidr 10.0.0.0/24

# Múltiplos CIDRs
python ssh_scanner.py --cidr 10.0.0.0/24 192.168.1.0/24

# ASN (prefixos resolvidos via RIPE Stat, fallback para bgp.tools)
python ssh_scanner.py --asn AS12345

# Combinação de entradas
python ssh_scanner.py --asn AS12345 --cidr 10.0.0.0/8 --ip 1.2.3.4

# A partir de um arquivo (um IP, CIDR ou ASN por linha)
python ssh_scanner.py --file alvos.txt

# Portas adicionais (além da 22)
python ssh_scanner.py --cidr 10.0.0.0/24 --ports 22 2222 22222

Optionale Parameter

Die DNS-Auflösung wird vor dem SSH-Scan als Batch mit einer dedizierten Thread-Warteschlange durchgeführt, sodass die DNS-Latenz die Scangeschwindigkeit nicht beeinträchtigt.

Ausgabe

Alle Ergebnisse werden in ./logs/ gespeichert:

Strukturierte CSV (formato_estruturado.csv)

Vorhandene Spalten:

Beispielzeilen:

IP               | PORTA | TIMESTAMP_UTC        | DOMINIO                  | FABRICANTE | SW_NAME | SW_VERSAO | CVEs                          | BANNER
192.168.1.10     | 22    | 2026-05-20T00:39:33Z | host.exemplo.com         | OpenSSH    | OpenSSH | 9.7       | cve-2024-6387;cve-2023-48795  | SSH-2.0-OpenSSH_9.7
192.168.1.20     | 22    | 2026-05-20T12:46:03Z | host2.exemplo.com        | OpenSSH    | OpenSSH | 9.4       | cve-2023-48795;cve-2024-6387  | SSH-2.0-OpenSSH_9.4
192.168.1.30     | 22    | 2026-05-20T12:47:11Z | router.exemplo.com       | Mikrotik   | ROSSSH  | N/D       |                               | SSH-2.0-ROSSSH

Am Ende des Scans zeigt das Skript automatisch eine Vorschau der ersten 20 Zeilen der strukturierten CSV im Terminal an, sofern verwundbare Hosts vorhanden sind.

Status der Hosts

Behebung

Aktualisieren Sie OpenSSH auf Version 9.8p1 oder höher (deckt beide CVEs ab):

# Ubuntu / Debian — über System-Repository
sudo apt update && sudo apt install --only-upgrade openssh-server
ssh -V

# CentOS / RHEL / Rocky
sudo dnf update openssh-server
ssh -V

# Kompilierung aus dem Quellcode (neueste Version)
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.9p1.tar.gz
tar xzf openssh-9.9p1.tar.gz
cd openssh-9.9p1 && ./configure && make && sudo make install

Starten Sie nach der Aktualisierung den Dienst neu:

sudo systemctl restart sshd

Referenzen

• NVD CVE-2024-6387: https://nvd.nist.gov/vuln/detail/CVE-2024-6387
• NVD CVE-2023-48795: https://nvd.nist.gov/vuln/detail/CVE-2023-48795
• OpenSSH Release Notes: https://www.openssh.com/releasenotes.html

Rechtlicher Hinweis

Dieses Skript ist für die Verwendung in Ihrer eigenen Infrastruktur oder mit ausdrücklicher Genehmigung bestimmt. Nicht autorisiertes Scannen kann gegen verschiedene Gesetze verstoßen. Gehen Sie daher mit Vorsicht vor.

Sämtliche Handlungen und Konsequenzen, die aus dem Missbrauch dieses Tools resultieren, liegen in Ihrer eigenen Verantwortung.

Wenn Sie Verbesserungsvorschläge haben oder Fehler finden, öffnen Sie ein Issue oder senden Sie einen Pull Request. Jeder Beitrag ist willkommen! 🚀