CVE-2024-6387-Mitigation

Название документа — Руководство по устранению CVE-2024-6387 в OpenSSH

Введение

В этом документе описаны шаги по устранению CVE-2024-6387 — уязвимости безопасности, затрагивающей версии OpenSSH с 8.5p1 по 9.8p1. Устранить уязвимость можно двумя способами:

1. Настройка параметра LoginGraceTime в конфигурации SSH для сокращения временного окна, доступного для атаки.
2. Обновление до версии OpenSSH, в которой устранена уязвимость CVE-2024-6387 (если такая версия доступна и совместима с вашими системами).

Вариант устранения 1 — Настройка LoginGraceTime

Параметр LoginGraceTime определяет время, отведённое SSH-клиентам на успешную аутентификацию. Установка этого параметра в значение 0 позволяет эффективно сократить окно уязвимости, поскольку требует немедленной аутентификации при подключении.

Шаги по настройке LoginGraceTime

1. Откройте файл конфигурации SSH От имени пользователя root откройте файл /etc/ssh/sshd_config с помощью текстового редактора. Например:

   root@kitploit:~

   vim /etc/ssh/sshd_config
   

2. Измените параметр LoginGraceTime Найдите параметр LoginGraceTime. Если он существует, измените его на:

   root@kitploit:~

   LoginGraceTime 0
   

   Если параметр отсутствует, добавьте его в файл с тем же значением.

3. Сохраните и закройте файл После внесения изменений сохраните файл и выйдите из текстового редактора.

4. Перезапустите службу SSH Примените изменения, перезапустив демон SSH:

   root@kitploit:~

   systemctl restart sshd.service
   

5. Проверьте конфигурацию (необязательно) Убедитесь, что конфигурация применена корректно:

   root@kitploit:~

   sshd -T | grep logingracetime
   

   Эта команда должна вывести logingracetime 0, что подтверждает применение настройки.

Вариант устранения 2 — Обновление OpenSSH

Если доступен путь обновления, в котором исправлена уязвимость CVE-2024-6387, рекомендуется обновить OpenSSH до этой версии. Для обновления OpenSSH выполните следующие общие шаги:

1. Проверьте текущую версию Проверьте текущую версию OpenSSH, установленную в вашей системе:

   root@kitploit:~

   ssh -V
   

2. Найдите доступные версии Проверьте, доступна ли исправленная версия в репозитории вашего дистрибутива:

   root@kitploit:~

   apt list -a openssh-server
   

3. Обновите OpenSSH Если доступна безопасная версия, выполните обновление с помощью менеджера пакетов:

   root@kitploit:~

   sudo apt update
   sudo apt upgrade openssh-server
   

4. Перезапустите службу SSH Перезапустите демон SSH, чтобы применить обновление:

   root@kitploit:~

   systemctl restart sshd.service
   

5. Проверьте обновление Проверьте версию ещё раз, чтобы убедиться, что обновление прошло успешно:

   root@kitploit:~

   ssh -V
   

---

PoC для CVE-2024-6387