azurejoga/cve-2024-6387-how-to-fixRimedio e mitigazione delle vulnerabilitàCVE-2024-6387
Rimedi e mitigazione della vulnerabilitàCVE-2024-6387
Il Qualys Threat Research Unit (TRU) ha descritto una grave falla di sicurezza chiamata 'regreSSHion' che rende vulnerabili milioni di sistemi Linux a esecuzione di codice remoto (RCE). Identificata come CVE-2024-6387 e scoperta nel maggio 2024, questa vulnerabilità interessa il server OpenSSH (sshd) sui sistemi Linux basati su glibc, consentendo a utenti non autenticati di ottenere accesso root e prendere il pieno controllo delle macchine colpite.
"Questo bug segna la prima vulnerabilità in OpenSSH in quasi due decenni — una RCE non autenticata che concede accesso root. Colpisce la configurazione predefinita e non richiede interazione da parte dell'utente, ponendo un rischio significativo di sfruttamento," osserva il gruppo di ricerca Qualys.
Qualys ha inoltre pubblicato un articolo più tecnico che approfondisce il processo di sfruttamento e le possibili strategie di mitigazione.
Il difetto regreSSHion interessa i server OpenSSH su Linux dalla versione 8.5p1 fino alla 9.8p1 esclusa. Le versioni dalla 4.4p1 fino alla 8.5p1 esclusa non sono vulnerabili a CVE-2024-6387 grazie a una patch per CVE-2006-5051, che ha protetto una funzione precedentemente non sicura. Le versioni precedenti alla 4.4p1 sono vulnerabili a questa regressione a meno che non siano state corrette per CVE-2006-5051 e CVE-2008-4109.
Esiste già una proof-of-concept (PoC) per questa vulnerabilità ed è possibile cercare server vulnerabili su Internet.
CVE-2024-6387 interessa versioni precedenti di OpenSSH e può essere risolta aggiornando all'ultima versione. Questo tutorial ti guiderà nel processo di scaricamento, compilazione e installazione dell'ultima versione di OpenSSH, assicurando che la tua installazione sia protetta da questa vulnerabilità.
Innanzitutto, scaricheremo e prepareremo la compilazione dell'ultima versione di OpenSSH.
Esegui i seguenti comandi per aggiornare il sistema e installare le dipendenze necessarie:
apt update
apt install build-essential zlib1g-dev libssl-dev libpam0g-dev libselinux1-dev wget -y
Naviga nella directory /usr/local/src e scarica l'ultimo pacchetto OpenSSH:
cd /usr/local/src
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.8p1.tar.gz
tar -xzf openssh-9.8p1.tar.gz
cd openssh-9.8p1
Ora compileremo e installeremo OpenSSH:
./configure
make
make install
Dopo l'installazione, verifica la versione di OpenSSH per assicurarti che l'aggiornamento sia riuscito:
/usr/local/bin/ssh -V
Assicurati che il nuovo OpenSSH sia nel PATH corretto.
Aggiungi /usr/local/bin al PATH:
export PATH=/usr/local/bin:$PATH
Aggiungi questa riga al tuo file di profilo (~/.bashrc o ~/.profile) per renderla permanente:
echo ‘export PATH=/usr/local/bin:$PATH’ >> ~/.bashrc
source ~/.bashrc
Riavvia il servizio SSH per assicurarti che stia usando la nuova versione. Fai molta attenzione a non interrompere la connessione SSH corrente:
systemctl restart ssh
Seguendo questi passaggi, hai protetto la tua installazione di OpenSSH dalla vulnerabilità critica CVE-2024-6387. Rimani vigile e assicurati che i tuoi sistemi siano sempre aggiornati con le ultime patch di sicurezza.