OpenSSH 爆高危漏洞 CVE-2024-6387

[qwertooo]

影响版本号 8.5p1 ~ 9.7p1......
https://www.reddit.com/r/msp/comments/1dsse9e/security_awareness_openssh_cve20246387_rce/

https://security-tracker.debian.org/tracker/CVE-2024-6387
https://ubuntu.com/security/CVE-2024-6387


今年下半年才刚开始

[CodeCodeStudy]

centos 和 open euler 的才 7 点几

[tool2dx]

"SSH-2.0-OpenSSH_9.2p1 Debian-2+deb12u2", from "debian-12.5.0-i386-DVD-1.iso": this is the current Debian stable
version

In our experiments, it takes ~10,000 tries on average to win this race condition, so ~3-4 hours with 100 connections (MaxStartups) accepted per 120 seconds (LoginGraceTime). Ultimately, it takes ~6-8 hours on average to obtain a remote root shell.

作者说，平均 7 小时破解一台远程 linux?

[salmon5]

AlmaLinux 9 已经有更新： https://almalinux.org/blog/2024-07-01-almalinux-9-cve-2024-6387/
openssh 8.7p1-38.el9.alma.2
openssh-clients 8.7p1-38.el9.alma.2
openssh-server 8.7p1-38.el9.alma.2

[xyholic]

有没 poc

[salmon5]

@salmon5 #43 这就是 AlmaLinux 的的优势（相对 CentOS 或 RockyLinux ）。

[x2ve]

OpenSSH_7.9p1 Debian-10+deb10u2, OpenSSL 1.1.1n 15 Mar 2022 ；这个版本应该没事吧

[sunnysab]

archlinux 下，记得服务端重启 sshd ，不然客户端连不上。原因尚不清楚。

害得我差点就要重启服务器了。

[barbery]

额 又要更新 真是麻烦

[lekai63]

早上紧张了下。仔细一看，我两机器都是 debian11 ，还在 8.4p 呢

[BeforeTooLate]

哈哈我一个版本是：OpenSSH_7.2p1
另外一个是：OpenSSH_9.2p1

[coldle]

草了，nixos 源里还是 9.7 ，又得叠 overlay 了

[lolizeppelin]

https://forums.rockylinux.org/t/openssh-vulnerability-cve-2024-6387/14883

rockly 出补丁了,可以先用再等红帽修复

[moenayuki]

@coldle unstable 已经是 9.8p1 了

[supuwoerc]

运维同学忙起来了～

[abolast]

@supuwoerc 都是内网，有什么可忙的

[Nosub]

临时处理办法：

安全组设置 OpenSSH 端口仅对可信地址开放，或是把 OpenSSH 端口先禁用；

[coldle]

@moenayuki #53 早上看的就是 ubstable ，估计刚更的

[powerman]

@Jack927 修了看后面的 0.11

[tool2dx]

@Nosub 不用那么复杂，官方有提到，配置文件里把 LoginGraceTime 改成 0 就可以。

[19c]

@sunnysab 即便看到你这条消息我还是没连上，重启都没用......通过网页 console 连进去发现 sshd 启动失败了，重新写配置才恢复