CVE-2024-6387-Mitigation

Dokumenttitel - Leitfaden zur Abschwächung von CVE-2024-6387 in OpenSSH

Einleitung

Dieses Dokument beschreibt die Schritte zur Abschwächung von CVE-2024-6387, einer Sicherheitslücke, die OpenSSH-Versionen von 8.5p1 bis 9.8p1 betrifft. Die Schwachstelle kann auf zwei Arten abgeschwächt werden:

1. Anpassen der LoginGraceTime-Einstellung in der SSH-Konfiguration, um das Zeitfenster für einen Angriff zu verkleinern.
2. Upgrade auf eine Version von OpenSSH, die gegen CVE-2024-6387 gepatcht ist (falls eine solche Version verfügbar und mit Ihren Systemen kompatibel ist).

Abschwächungsoption 1 - Konfigurieren von LoginGraceTime

Der Parameter LoginGraceTime gibt das Zeitlimit an, innerhalb dessen sich SSH-Clients erfolgreich authentifizieren müssen. Das Setzen dieses Parameters auf 0 kann das Verwundbarkeitsfenster effektiv verkleinern, da eine sofortige Authentifizierung bei der Verbindung erforderlich ist.

Schritte zum Anpassen von LoginGraceTime

1. Öffnen Sie die SSH-Konfigurationsdatei Öffnen Sie als Root-Benutzer die Datei /etc/ssh/sshd_config mit einem Texteditor. Zum Beispiel:

   root@kitploit:~

   vim /etc/ssh/sshd_config
   

2. Ändern Sie den Parameter LoginGraceTime Suchen Sie den Parameter LoginGraceTime. Falls vorhanden, ändern Sie ihn zu:

   root@kitploit:~

   LoginGraceTime 0
   

   Falls der Parameter nicht existiert, fügen Sie ihn mit derselben Einstellung zur Datei hinzu.

3. Speichern und schließen Sie die Datei Nachdem Sie die Änderungen vorgenommen haben, speichern Sie die Datei und beenden Sie den Texteditor.

4. Starten Sie den SSH-Dienst neu Wenden Sie die Änderungen durch Neustart des SSH-Daemons an:

   root@kitploit:~

   systemctl restart sshd.service
   

5. Überprüfen Sie die Konfiguration (optional) Stellen Sie sicher, dass die Konfiguration korrekt angewendet wurde:

   root@kitploit:~

   sshd -T | grep logingracetime
   

   Dieser Befehl sollte logingracetime 0 ausgeben, was bestätigt, dass die Einstellung angewendet wird.

Abschwächungsoption 2 - Upgrade von OpenSSH

Falls ein Upgrade-Pfad verfügbar ist, der CVE-2024-6387 patcht, wird empfohlen, OpenSSH auf diese Version zu aktualisieren. Befolgen Sie diese allgemeinen Schritte zum Upgrade von OpenSSH:

1. Aktuelle Version überprüfen Überprüfen Sie die aktuell auf Ihrem System installierte Version von OpenSSH:

   root@kitploit:~

   ssh -V
   

2. Nach verfügbaren Versionen suchen Überprüfen Sie, ob eine gepatchte Version im Repository Ihrer Distribution verfügbar ist:

   root@kitploit:~

   apt list -a openssh-server
   

3. OpenSSH upgraden Falls eine sichere Version verfügbar ist, führen Sie das Upgrade mit dem Paketmanager durch:

   root@kitploit:~

   sudo apt update
   sudo apt upgrade openssh-server
   

4. Starten Sie den SSH-Dienst neu Starten Sie den SSH-Daemon neu, um das Upgrade zu übernehmen:

   root@kitploit:~

   systemctl restart sshd.service
   

5. Überprüfen Sie das Upgrade Überprüfen Sie die Version erneut, um sicherzustellen, dass das Upgrade erfolgreich war:

   root@kitploit:~

   ssh -V
   

---

Proof of Concept für CVE-2024-6387