CVE-2024-6387 Análise da Vulnerabilidade de Condição de Corrida em Sinal do OpenSSH

Resumo da Vulnerabilidade

CVE-2024-6387 é uma vulnerabilidade de condição de corrida no tratamento de sinais presente nas versões 8.5p1 a 9.7p1 do OpenSSH, conhecida como "regreSSHion". Um atacante pode tentar continuamente por 6-8 horas para executar código arbitrário com privilégios de root, afetando aproximadamente 14 milhões de servidores em todo o mundo.

Versões Afetadas

OpenSSH 8.5p1 ~ 9.7p1 (a versão padrão do Ubuntu 22.04, 8.9p1, é afetada)

Princípio da Vulnerabilidade

1. O OpenSSH usa o sinal SIGALRM para processar o tempo limite de login
2. Durante a execução da função de tratamento do sinal, outras threads podem operar simultaneamente na memória heap
3. A condição de corrida leva à corrupção da memória heap, permitindo sequestrar o fluxo de execução do programa
4. Eventualmente obter um shell root

Ambiente de Reprodução

Sistema operacional: Ubuntu 22.04.5 LTS

Versão do OpenSSH: 8.9p1

Endereço alvo: 127.0.0.1:22

Script de Detecção

#!/bin/bash
# check_cve_2024_6387.sh

TARGET=${1:-127.0.0.1}
PORT=22

echo "[*] CVE-2024-6387 漏洞检测"
echo "[*] 目标: $TARGET:$PORT"

for i in {1..1000}; do
    timeout 1 nc -zv $TARGET $PORT 2>/dev/null
    if [ $((i % 100)) -eq 0 ]; then
        echo "[*] 已完成 $i 次连接"
    fi
done

echo "[+] 检测完成"
echo "[*] 请检查系统日志: sudo tail -20 /var/log/auth.log"

Resultados da Execução

[] Detecção da vulnerabilidade CVE-2024-6387 OpenSSH

[] Alvo: 127.0.0.1:22

[] 100 conexões concluídas

[] 200 conexões concluídas ... [] 1000 conexões concluídas

[+] Detecção concluída em 5 segundos

Solução de Correção

Atualizar o OpenSSH: sudo apt update sudo apt upgrade openssh-server

Verificar versão: ssh -V (deve mostrar 9.7p1 ou superior)

Medida emergencial: limitar a frequência de conexões iptables -A INPUT -p tcp --dport 22 -m limit --limit 1/minute -j ACCEPT

Instalar fail2ban: sudp apt install fail2ban sudo systemctl enable fail2ban

Estrutura do Projeto

README.md

CVE-2024-6387-analysis.md

check_cve_2024_6387.sh

Referências

NVD - CVE-2024-6387

Qualys Security Advisory

Autor

Doux-x