CVE-2024-6387 Análisis de la vulnerabilidad de condición de carrera de señal de OpenSSH

Resumen de la vulnerabilidad

CVE-2024-6387 es una vulnerabilidad de condición de carrera en el manejo de señales presente en las versiones de OpenSSH 8.5p1 a 9.7p1, conocida como "regreSSHion". Un atacante puede intentar continuamente durante 6-8 horas para ejecutar código arbitrario con privilegios de root, afectando a aproximadamente 14 millones de servidores en todo el mundo.

Versiones afectadas

OpenSSH 8.5p1 ~ 9.7p1 (la versión predeterminada de Ubuntu 22.04, 8.9p1, está afectada)

Principio de la vulnerabilidad

1. OpenSSH usa la señal SIGALRM para manejar el tiempo de espera de inicio de sesión
2. Durante la ejecución del manejador de señales, otros hilos pueden operar simultáneamente en la memoria del heap
3. La condición de carrera causa corrupción en el heap, permitiendo secuestrar el flujo de ejecución del programa
4. Finalmente obtener una shell de root

Entorno de reproducción

Sistema operativo: Ubuntu 22.04.5 LTS

Versión de OpenSSH: 8.9p1

Dirección objetivo: 127.0.0.1:22

Script de detección

#!/bin/bash
# check_cve_2024_6387.sh

TARGET=${1:-127.0.0.1}
PORT=22

echo "[*] CVE-2024-6387 漏洞检测"
echo "[*] 目标: $TARGET:$PORT"

for i in {1..1000}; do
    timeout 1 nc -zv $TARGET $PORT 2>/dev/null
    if [ $((i % 100)) -eq 0 ]; then
        echo "[*] 已完成 $i 次连接"
    fi
done

echo "[+] 检测完成"
echo "[*] 请检查系统日志: sudo tail -20 /var/log/auth.log"

Resultados de ejecución

[] Detección de vulnerabilidad CVE-2024-6387 OpenSSH

[] Objetivo: 127.0.0.1:22

[] 100 conexiones completadas

[] 200 conexiones completadas ... [] 1000 conexiones completadas

[+] Detección completada, tomó 5 segundos

Solución

Actualizar OpenSSH: sudo apt update sudo apt upgrade openssh-server

Verificar versión: ssh -V (debería mostrar 9.7p1 o superior)

Medida de emergencia: limitar la frecuencia de conexiones iptables -A INPUT -p tcp --dport 22 -m limit --limit 1/minute -j ACCEPT

Instalar fail2ban: sudo apt install fail2ban sudo systemctl enable fail2ban

Estructura del proyecto

README.md

CVE-2024-6387-analysis.md

check_cve_2024_6387.sh

Referencias

NVD - CVE-2024-6387

Qualys Security Advisory

Autor

Doux-x