OpenSSH 爆高危漏洞 CVE-2024-6387

[qwertooo]

影响版本号 8.5p1 ~ 9.7p1......
https://www.reddit.com/r/msp/comments/1dsse9e/security_awareness_openssh_cve20246387_rce/

https://security-tracker.debian.org/tracker/CVE-2024-6387
https://ubuntu.com/security/CVE-2024-6387


今年下半年才刚开始

[james122333]

我好像又没事 哈

[huagequan]

@cat 你这不是已经更新了吗

[Yadomin]

年度安全🥇：CentOS 7

[cnbatch]

看了下 OpenSSH 的公告，发现这个 Bug 几乎就是 Linux-Only ，更进一步地说，是仅限于 glibc 的 Linux 系统受影响

而 OpenSSH 的发源地——OpenBSD ，完全不受影响

这有没有可能是 glibc 的的间接 bug 呢

[cat]

@huagequan 噢！我悟了！ 8.9p1-3ubuntu0.10 重点是在最后的 0.10 ，我以为要最前面的 8.9 更新到 9.x 才行，谢谢大佬！

[dzdh]

RHEl 8.7p1 暂未收到安全更新

[msg7086]

@cnbatch 不算是 bug 吧，只能说是行为不太一样。
比如说头孢和阿莫西林都是抗生素，但吃头孢不能喝酒，那你不能说这是头孢的 bug 吧。

[Ja5onV]

年度安全🥇：CentOS 7 哈哈哈哈 CentOS7.9 不受影响
sshd -v
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips 26 Jan 2017

[billgong]

非滚动发行版都是 patch 支持的版本而不是直接升级到最新，比如 Debian (1:9.2p1-2+deb12**u2** -> 1:9.2p1-2+deb12**u3**) 和 Ubuntu (1:8.9p1-3 -> 1:8.9p1-3**ubuntu0.10**) 所以看版本号要看后缀，不是非得升级到 9.8p1

[elboble]

@cat 确定这个版本 8.9p1-3ubuntu0.10 打了补丁？

我这查的这个版本是 6 月 26 号出的，难道这个 0Day 早就知道了？

:~$ dpkg -l | grep openssh
ii openssh-client 1:8.9p1-3ubuntu0.10 amd64 secure shell (SSH) client, for secure access to remote machines
ii openssh-server 1:8.9p1-3ubuntu0.10 amd64 secure shell (SSH) server, for secure access from remote machines
ii openssh-sftp-server 1:8.9p1-3ubuntu0.10 amd64 secure shell (SSH) sftp server module, for SFTP access from remote machines
:~$ ls /sbin/sshd -l
-rwxr-xr-x 1 root root 917192 Jun 26 21:11 /sbin/sshd
:~$ ls /bin/ssh -al
-rwxr-xr-x 1 root root 846888 Jun 26 21:11 /bin/ssh

[yingji0830]

@elboble 按 https://ubuntu.com/security/notices/USN-6859-1 的说法，更新到这个版本应该是安全的

[uSy62nMkdH]

@StinkyTofus CVE-2023-51385 CVE-2023-38408

[msg7086]

@elboble Debian 的补丁是 6/22 就合并了。

[vein0]

@LingXingYue 有可能不显示新版本
如果新版本没显示，就是需要添加环境变量：
echo 'export PATH=/usr/local/bin:/usr/local/sbin:$PATH' >> ~/.bashrc
验证生效
source ~/.bashrc

[Jack927]

这个算是修了吗？

```
sudo apt policy openssh-server
openssh-server:
Installed: 1:8.2p1-4ubuntu0.11
Candidate: 1:8.2p1-4ubuntu0.11
Version table:
*** 1:8.2p1-4ubuntu0.11 500
500 http://mirrors.aliyun.com/ubuntu focal-updates/main amd64 Packages
500 http://mirrors.aliyun.com/ubuntu focal-security/main amd64 Packages
100 /var/lib/dpkg/status
1:8.2p1-4 500
500 http://mirrors.aliyun.com/ubuntu focal/main amd64 Packages
```

[urlk]

OpenSSH_for_Windows_8.6p1, LibreSSL 3.4.3

[xiri]

@elboble
问题发现团队的公告最后有时间线： https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt
2024-05-19: We contacted OpenSSH's developers. Successive iterations of
patches and patch reviews followed.
2024-06-20: We contacted the distros@openwall.
2024-07-01: Coordinated Release Date.

5 月 19 就联系 openssh 开发者开始打补丁了，这种高危漏洞正规流程应该都是先确保大部分人/发行版有补丁可用后再公开

[MartinWu]

https://almalinux.org/blog/2024-07-01-almalinux-9-cve-2024-6387/ AlmaLinux9 fix

[villivateur]

Ubuntu20.04 无所畏惧，还是 8.2 版本

[GG5332]

@elboble
了解一下，负责任的漏洞披露流程。
https://zh.wikipedia.org/wiki/%E8%B4%9F%E8%B4%A3%E4%BB%BB%E7%9A%84%E6%8A%AB%E9%9C%B2