OpenSSH 爆高危漏洞 CVE-2024-6387

2024-07-01 22:57:25 +08:00
 qwertooo
影响版本号 8.5p1 ~ 9.7p1......
https://www.reddit.com/r/msp/comments/1dsse9e/security_awareness_openssh_cve20246387_rce/

https://security-tracker.debian.org/tracker/CVE-2024-6387
https://ubuntu.com/security/CVE-2024-6387


今年下半年才刚开始
25833 次点击
所在节点    信息安全
131 条回复
badboy200600
2024-07-02 18:00:46 +08:00
注意挑时间升级,,,,,升级导致正在运行的服务重启了
Tink
2024-07-02 18:04:40 +08:00
openssh-client/xenial-updates 1:7.2p2-4ubuntu2.10 amd64 [upgradable from: 1:7.2p2-4ubuntu2.2]
openssh-server/xenial-updates 1:7.2p2-4ubuntu2.10 amd64 [upgradable from: 1:7.2p2-4ubuntu2.2]
openssh-sftp-server/xenial-updates 1:7.2p2-4ubuntu2.10 amd64 [upgradable from: 1:7.2p2-4ubuntu2.2]
ssh/xenial-updates,xenial-updates 1:7.2p2-4ubuntu2.10 all [upgradable from: 1:7.2p2-4ubuntu2.2]

我这个古董版本,还需要更新吗
Bluecoda
2024-07-02 18:32:27 +08:00
我也是 7.2p2 的,貌似不需要更
wzw
2024-07-02 18:37:09 +08:00
@yyzh 你直接 full-upgrade, 为啥不是 upgrade 就够了, 平时日常维护都是 full-upgrade 吗?

full-upgrade 用在 20.04/22.04 生产环境上会不会不妥?
zsj1029
2024-07-02 18:37:25 +08:00
centos8
OpenSSH_8.0p1, OpenSSL 1.1.1k FIPS 25 Mar 2021
zsj1029
2024-07-02 18:38:00 +08:00
@darksheen 就是 centos8 一样的
sunrain
2024-07-02 18:40:20 +08:00
苹果已升级。
MrKrabs
2024-07-02 18:45:13 +08:00
我说怎么 ssh 进不去 arch 了,真尼玛幽默
wentx
2024-07-02 18:48:01 +08:00
weeei
2024-07-02 18:49:56 +08:00
@cnbatch 上官网看了安全公告了,已经更新。感谢
acess
2024-07-02 19:03:32 +08:00
微软这边 Win11 也有 OpenSSH ,不知道受不受影响,不管怎样我从直接暴露 ssh 改成 wireguard 套一层了。
cnbatch
2024-07-02 19:05:43 +08:00
@acess Windows 内置的 OpenSSH 不受影响
目前只有 glibc / Linux 才会受影响
busier
2024-07-02 19:08:08 +08:00
@yyzh
@wzw
我平时都是 apt-get dist-upgrade 的
acess
2024-07-02 19:17:07 +08:00
@cnbatch
https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server
查了一下 qualys 官方博客好像说还不确定能不能在 macos 还有 Windows 上利用……
7789aa900
2024-07-02 20:22:53 +08:00
@AstroProfundis 啊,我已经照楼上的教程编译安装了,有什么后果吗。怎么恢复原状态
zx900930
2024-07-02 20:25:02 +08:00
CentOS 7 刚批量升完

Updated:
openssh.x86_64 0:9.8p1-1.el7 openssh-clients.x86_64 0:9.8p1-1.el7 openssh-server.x86_64 0:9.8p1-1.el7

Complete!
[root@k8s-master2 x86_64]# ssh -V
OpenSSH_9.8p1, OpenSSL 3.0.14 4 Jun 2024
yyzh
2024-07-02 20:46:37 +08:00
@wzw 我的是 24.04 才刚装两个月.
另外你的 20.04 好像官方没给修了吧?
AstroProfundis
2024-07-02 21:47:00 +08:00
@7789aa900 后果就是你之前包管理安装的 ssh 会被编译的覆盖掉,且不说编译参数和源里面打包用的不一样了,这个大概不影响运行,只是理论上可能存在安全性或者性能方面的隐患,主要问题在于这些 make install 丢到系统目录的文件是脱离了包管理的,以后再升级的时候有可能会被包管理报错文件冲突,或者其他乱七八糟的问题,不好说

你可以尝试 make uninstall 删掉自己编译的那些文件,然后 apt install --reinstall ssh 强行重装源里面的包来覆盖回来,不保证好使,记得动手前先备份数据和 /etc/ssh 的配置,完成后重启 sshd, 并且在验证能连上去之前不要断开已有连接

如果真的有需要自己编译替换系统包的情况,要么用按照发行版的打包手段打一个包去替换已有包,这样所有东西都还是包管理管着在,要么最起码在自己编译安装的时候指定 prefix 放到诸如 /usr/local/xxx-x.y.z 或者 /opt/xxx-x.y.z 之类和系统原有包区分开的地方

这还只是 ssh 玩坏了后果仅仅连不上机器而已,不算难救,如果是 glibc 之类的东西,自己 xjb 编译一个把系统的覆盖掉就有得好玩了
7789aa900
2024-07-02 23:28:48 +08:00
@AstroProfundis 非常感谢,如此详细的解答。祝大佬夜夜笙歌,到马老师的年纪也能闪电五连鞭!!
esee
2024-07-02 23:59:13 +08:00
用的 ubuntu 20 .默认的版本还是 8.2p1 我总是秉承着能用 且没有漏洞,就不去升级 的想法。。

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/1054091

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX