OpenSSH 远程代码执行漏洞(CVE-2024-6387)

<<
OpenSSH 是一个广泛使用的开源网络协议，用于提供安全的远程登录（SSH）服务。CVE-2024-6387是一个公开的安全漏洞，也被称为“OpenSSH 命令注入漏洞”或“SSH Remote Code Execution (RCE)”，它发生在某些版本的 OpenSSH 中。

这个漏洞允许攻击者通过精心构造的 SSH 命令执行任意系统命令，从而获得对远程服务器的控制，如果用户权限足够，这可能导致严重的数据泄露或系统破坏。具体来说，攻击者能够利用该漏洞通过发送恶意 SSH 延迟请求，使得 SSH 服务器处理命令的过程中出现错误，从而绕过输入验证机制，得以执行未经授权的操作。

修复此漏洞的方法通常是升级到最新版的 OpenSSH 客户端和服务器软件，因为开发团队通常会为这类高危漏洞发布补丁。为了保护系统安全，管理员应尽快应用这些更新，并限制不必要的 SSH 访问权限，只允许经过身份验证并有明确授权的用户连接。

相关问题

CVE-2024-6387: OpenSSH 远程代码执行漏洞

### CVE-2024-6387 OpenSSH 远程代码执行漏洞详细信息

CVE-2024-6387 是一个存在于 OpenSSH 服务器中的高危远程代码执行 (RCE) 漏洞，允许未经身份验证的远程攻击者在受影响的 Linux 系统上以 root 权限执行任意代码。此漏洞源于信号处理程序中存在的条件竞争问题[^2]。

#### 影响范围
该漏洞主要影响基于 glibc 的 Linux 系统，并且特定版本范围内存在风险：
- **OpenSSH 版本**：&lt; 4.4p1 和 8.5p1 ≤ OpenSSH &lt; 9.8p1 的版本受到影响。

由于漏洞细节和技术利用方法已在互联网上公开传播，因此其潜在威胁显著增大。

### 修复方案

为了防止因 CVE-2024-6387 导致的安全事件发生，建议采取如下措施：

1. **立即升级到最新版 OpenSSH**
推荐尽快将 OpenSSH 升级至官方发布的最新稳定版本（至少为 9.8p1 或更高），这些新版本已包含针对该漏洞的有效修补程序。

2. **应用安全补丁**
如果无法即时进行全面升级，则应安装由操作系统供应商提供的专门用于解决此问题的安全更新包。

3. **配置防火墙规则**
可通过设置严格的网络访问控制策略来限制对 SSH 服务端口（默认为 TCP/22）不必要的外部连接请求，从而减少被攻击的风险[^3]。

4. **启用强制密钥认证机制**
关闭密码登录方式并仅允许使用强加密算法保护下的公私钥配对方式进行用户鉴权操作可以进一步增强系统的安全性。

# 修改 /etc/ssh/sshd_config 文件，禁用密码登陆并将 PubkeyAuthentication 设置为 yes
PasswordAuthentication no
PubkeyAuthentication yes

OpenSSH ssh-agent 远程代码执行漏洞(CVE-2023-38408)

### OpenSSH ssh-38408) 详情

#### 影响范围
此漏洞影响 `ssh-agent` 和 `openssh` 的特定版本。具体来说，受影响的版本包括但不限于：

- `ssh-agent@(-∞, 9.3-p2)`
- `openssh@(-∞, 9.3p2-1)`

当用户使用 SSH-Agent 转发代理功能连接至攻击者的恶意服务器时，存在越权访问风险[^3]。

#### 漏洞描述
SSH-Agent 是 SSH 协议的一部分，主要用于管理和处理私钥以及支持公钥认证过程中的身份验证请求。然而，在某些情况下，如果 SSH-Agent 对加载的共享库缺乏适当的安全限制，则可能导致安全问题。特别是，攻击者可以利用这一特性将恶意编写的共享库文件作为参数传递给 SSH-Agent，并通过调用 dlopen/dlclose 函数来动态加载或卸载这些库文件，从而触发远程代码执行的可能性。

#### 处置建议与修复方法
为了防止此类攻击的发生，官方已发布更新补丁以解决这个问题。对于受到影响的产品和服务，推荐采取如下措施进行防护：

- **立即升级**：尽快把当前使用的 OpenSSH 更新到最新的稳定发行版（至少为 v9.3p2 或更高），这一步骤至关重要，因为新版本包含了针对该漏洞的有效修补程序。

- **配置调整**：在完成软件包升级之后，还需注意检查并修改 `/etc/ssh/sshd_config` 文件内的设置项。例如，确保 HostKeyAlgorithms 参数中包含多种算法选项，如 `HostKeyAlgorithms ssh-rsa,ssh-ed25519,...` ，以此增强系统的兼容性和安全性[^4]。

sudo apt-get update && sudo apt-get install openssh-server -y

上述命令适用于基于 Debian/Ubuntu Linux 发行版的操作系统；其他平台应参照各自文档指导来进行相应操作。