OpenSSH 爆高危漏洞 CVE-2024-6387

[qwertooo]

影响版本号 8.5p1 ~ 9.7p1......
https://www.reddit.com/r/msp/comments/1dsse9e/security_awareness_openssh_cve20246387_rce/

https://security-tracker.debian.org/tracker/CVE-2024-6387
https://ubuntu.com/security/CVE-2024-6387


今年下半年才刚开始

[kenvix]

@supuwoerc #54 版本太老以至于忙不起来

[proxychains]

好消息: 机房几百台 cent7.9 openssh 7.4p1 不影响
坏消息: 我的 arch openssh 9.7p1

[LeviMarvin]

@yukino 已经更新了，但是 ssh -V 还是这个 OpenSSH_9.8p1

[guabimian]

根据 OpenSSH 的通知，在实验室测试中，仅针对 32 位系统成功利用该漏洞。

[lovelylain]

openssh-server/now 1:9.6p1-3ubuntu13.3 amd64 [installed,local]
dockerfile 重新 build 的 ubuntu ，这个修复了吗？

[dmanbu]

昨晚一个通知就爬起来，编译、做 RPM 包、批量更新

[weeei]

freebsd 14.1 目前还是有漏洞的版本

[zgzhang]

在野的 poc 在 32 位机器也没有成功复现，SSH 的 ACL 还是需要限制呀

[mingtdlb]

ssh 一天到晚都出漏洞😂还记得以前给客户修漏洞 就直接改版本号...

[retanoj]

@tool2dx #59 这办法是个坑

[cnbatch]

@weeei FreeBSD 已经发布了紧急更新，需要用 freebsd-update 来升级，不能用 pkg 管理器来升级

[datou]

Ubuntu2404 arm64 版怎么没有更新？

[datou]

@datou 错了，是 2204

[tool2dx]

@zgzhang "在野的 poc 在 32 位机器也没有成功复现"

poc 里面都是伪代码，连个握手协议都没写完，肯定没办法成功复现。

[Dk2014]

@lovelylain #65 我本地就这个版本，时间对不上 应该没修
OpenSSH_9.6p1 Ubuntu-3ubuntu13.3, OpenSSL 3.0.13 30 Jan 2024

[zx900930]

7.4p1 是过不了等保 3 级漏洞扫描的哦
会报
CVE-2020-15778
CVE-2020-14145
CVE-2017-15906
CVE-2018-15919
CVE-2018-15473
CVE-2021-41617

今年刚过的等保 3 、7.4p1 一片红

手动升级到 9.7p1 过了，没想到现在又要升级了

[Dk2014]

@lovelylain #65 看 ubuntu 的公告好像是修了，奇怪 后面的日期怎么不变
https://ubuntu.com/security/notices/USN-6859-1

[shabbyin]

Ubuntu 24.04
openssh-client - 1:9.6p1-3ubuntu13.3
openssh-server - 1:9.6p1-3ubuntu13.3
Ubuntu 23.10
openssh-client - 1:9.3p1-1ubuntu3.6
openssh-server - 1:9.3p1-1ubuntu3.6
Ubuntu 22.04
openssh-client - 1:8.9p1-3ubuntu0.10
openssh-server - 1:8.9p1-3ubuntu0.10

各版本 ubuntu 的 openssh 修复版本号

[shyling]

arch 升完后要手动重启下 sshd ，没重启害我折腾半天

[herozzm]

才升级过的，这个 openssh 漏洞也太频繁了