Titolo del documento - Guida alla mitigazione per CVE-2024-6387 in OpenSSH

Introduzione

Questo documento descrive i passaggi per mitigare CVE-2024-6387, una vulnerabilità di sicurezza che interessa le versioni di OpenSSH da 8.5p1 a 9.8p1. La vulnerabilità può essere mitigata in due modi:

Modificare l'impostazione LoginGraceTime nella configurazione SSH per ridurre la finestra di opportunità per un attacco.
Aggiornare a una versione di OpenSSH corretta contro CVE-2024-6387 (se tale versione è disponibile e compatibile con i propri sistemi).

Opzione di mitigazione 1 - Configurazione di `LoginGraceTime`

Il parametro LoginGraceTime specifica il limite di tempo entro cui i client SSH devono autenticarsi con successo. Impostare questo parametro a 0 può ridurre efficacemente la finestra di vulnerabilità richiedendo l'autenticazione immediata alla connessione.

Passaggi per modificare `LoginGraceTime`

Aprire il file di configurazione SSH Come utente root, aprire il file /etc/ssh/sshd_config utilizzando un editor di testo. Ad esempio:
```
vim /etc/ssh/sshd_config
```
Modificare il parametro LoginGraceTime Individuare il parametro LoginGraceTime. Se esiste, modificarlo in:
```
LoginGraceTime 0
```
Se il parametro non esiste, aggiungerlo al file con la stessa impostazione.
Salvare e chiudere il file Dopo aver apportato le modifiche, salvare il file e uscire dall'editor di testo.
Riavviare il servizio SSH Applicare le modifiche riavviando il demone SSH:
```
systemctl restart sshd.service
```
Verificare la configurazione (facoltativo) Assicurarsi che la configurazione sia stata applicata correttamente:
```
sshd -T | grep logingracetime
```
Questo comando dovrebbe restituire logingracetime 0, confermando che l'impostazione è stata applicata.

Opzione di mitigazione 2 - Aggiornamento di OpenSSH

Se è disponibile un percorso di aggiornamento che corregge CVE-2024-6387, si consiglia di aggiornare OpenSSH a questa versione. Seguire questi passaggi generali per aggiornare OpenSSH:

Controllare la versione corrente Verificare la versione corrente di OpenSSH installata sul proprio sistema:
```
ssh -V
```
Cercare le versioni disponibili Controllare se una versione corretta è disponibile nel repository della propria distribuzione:
```
apt list -a openssh-server
```
Aggiornare OpenSSH Se è disponibile una versione sicura, aggiornare utilizzando il gestore dei pacchetti:
```
sudo apt update
sudo apt upgrade openssh-server
```
Riavviare il servizio SSH Riavviare il demone SSH per applicare l'aggiornamento:
```
systemctl restart sshd.service
```
Verificare l'aggiornamento Controllare di nuovo la versione per assicurarsi che l'aggiornamento sia andato a buon fine:
```
ssh -V
```

Proof of Concept per CVE-2024-6387

CVE-2024-6387-Mitigation

Più Popolari