CVE-2024-6387-Mitigation

Titre du document - Guide d'atténuation pour CVE-2024-6387 dans OpenSSH

Introduction

Ce document décrit les étapes pour atténuer CVE-2024-6387, une vulnérabilité de sécurité affectant les versions d'OpenSSH de 8.5p1 à 9.8p1. La vulnérabilité peut être atténuée de deux manières :

1. Ajuster le paramètre LoginGraceTime dans la configuration SSH pour réduire la fenêtre d'opportunité d'une attaque.
2. Mettre à niveau vers une version d'OpenSSH corrigée contre CVE-2024-6387 (si une telle version est disponible et compatible avec vos systèmes).

Option d'atténuation 1 - Configuration de LoginGraceTime

Le paramètre LoginGraceTime spécifie la limite de temps pour que les clients SSH s'authentifient avec succès. Définir ce paramètre à 0 peut efficacement réduire la fenêtre de vulnérabilité en exigeant une authentification immédiate lors de la connexion.

Étapes pour ajuster LoginGraceTime

1. Ouvrir le fichier de configuration SSH En tant qu'utilisateur root, ouvrez le fichier /etc/ssh/sshd_config à l'aide d'un éditeur de texte. Par exemple :

   root@kitploit:~

   vim /etc/ssh/sshd_config
   

2. Modifier le paramètre LoginGraceTime Localisez le paramètre LoginGraceTime. S'il existe, modifiez-le en :

   root@kitploit:~

   LoginGraceTime 0
   

   Si le paramètre n'existe pas, ajoutez-le au fichier avec le même réglage.

3. Sauvegarder et fermer le fichier Après avoir effectué les modifications, enregistrez le fichier et quittez l'éditeur de texte.

4. Redémarrer le service SSH Appliquez les modifications en redémarrant le démon SSH :

   root@kitploit:~

   systemctl restart sshd.service
   

5. Vérifier la configuration (optionnel) Assurez-vous que la configuration a été appliquée correctement :

   root@kitploit:~

   sshd -T | grep logingracetime
   

   Cette commande devrait afficher logingracetime 0, confirmant que le paramètre est appliqué.

Option d'atténuation 2 - Mise à niveau d'OpenSSH

Si une voie de mise à niveau est disponible qui corrige CVE-2024-6387, il est recommandé de mettre à jour OpenSSH vers cette version. Suivez ces étapes générales pour mettre à niveau OpenSSH :

1. Vérifier la version actuelle Vérifiez la version actuelle d'OpenSSH installée sur votre système :

   root@kitploit:~

   ssh -V
   

2. Rechercher les versions disponibles Vérifiez si une version corrigée est disponible dans le dépôt de votre distribution :

   root@kitploit:~

   apt list -a openssh-server
   

3. Mettre à niveau OpenSSH Si une version sécurisée est disponible, mettez à niveau à l'aide du gestionnaire de paquets :

   root@kitploit:~

   sudo apt update
   sudo apt upgrade openssh-server
   

4. Redémarrer le service SSH Redémarrez le démon SSH pour appliquer la mise à niveau :

   root@kitploit:~

   systemctl restart sshd.service
   

5. Vérifier la mise à niveau Vérifiez à nouveau la version pour vous assurer que la mise à niveau a réussi :

   root@kitploit:~

   ssh -V
   

---

Preuve de concept pour CVE-2024-6387