CVE-2024-6387 OpenSSH 信号竞争漏洞分析

漏洞概述

CVE-2024-6387 是 OpenSSH 8.5p1 至 9.7p1 版本中存在的一个信号处理竞争条件漏洞，被称为 "regreSSHion"。攻击者可在 6-8 小时内持续尝试，以 root 权限执行任意代码，影响全球约 1400 万台服务器。

影响版本

OpenSSH 8.5p1 ~ 9.7p1（Ubuntu 22.04默认版本8.9p1受影响

漏洞原理

OpenSSH 使用 SIGALRM 信号处理登录超时
信号处理函数执行期间，其他线程可能同时操作堆内存
竞争条件导致堆内存破坏，可劫持程序执行流
最终获取 root shell

复现环境

操作系统：Ubuntu 22.04.5 LTS

OpenSSH 版本：8.9p1

目标地址：127.0.0.1:22

检测脚本

#!/bin/bash
# check_cve_2024_6387.sh

TARGET=${1:-127.0.0.1}
PORT=22

echo "[*] CVE-2024-6387 漏洞检测"
echo "[*] 目标: $TARGET:$PORT"

for i in {1..1000}; do
    timeout 1 nc -zv $TARGET $PORT 2>/dev/null
    if [ $((i % 100)) -eq 0 ]; then
        echo "[*] 已完成 $i 次连接"
    fi
done

echo "[+] 检测完成"
echo "[*] 请检查系统日志: sudo tail -20 /var/log/auth.log"

执行结果

[] CVE-2024-6387 OpenSSH 漏洞检测

[] 目标: 127.0.0.1:22

[] 已完成 100 次连接

[] 已完成 200 次连接 ... [] 已完成 1000 次连接

[+] 检测完成，用时 5 秒

修复方案

升级 OpenSSH： sudo apt update sudo apt upgrade openssh-server

验证版本：ssh -V（应显示 9.7p1 以上

应急措施：限制连接频率 iptables -A INPUT -p tcp --dport 22 -m limit --limit 1/minute -j ACCEPT

安装fail2ban： sudo apt install fail2ban sudo systemctl enable fail2ban

项目结构

README.md

CVE-2024-6387-analysis.md

check_cve_2024_6387.sh

参考资料

NVD - CVE-2024-6387

Qualys Security Advisory

作者

Doux-x

CVE-2024-6387-analysis

最受欢迎