BDU:2024-04914
Novell Inc., The NetBSD Project, FreeBSD Project, Amazon.com Inc., Moxa Inc., Canonical Ltd., Red Ha Red Hat Enterprise Linux, NetBSD, EDR-G9010, Debian GNU/Linux, Red Hat OpenShift Container Platform,
2024-07-01
Уязвимость сервера средства криптографической защиты OpenSSH связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с root-привилегиями
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры: - для ограничения возможности эксплуатации в sshd_config выставить параметр «LoginGraceTime=0»; - установить для LoginGraceTime значение 0 в /etc/ssh/sshd_config и перезапустить sshd; - использование антивирусного программного обеспечения для отслеживания попыток эксплуатации уязвимости; - использование средств межсетевого экранирования для ограничения возможности удалённого доступа.
Использование рекомендаций производителя: Для FreeBSD: https://www.freebsd.org/security/advisories/FreeBSD-SA-24:04.openssh.asc
Для OpenSSH: https://lists.mindrot.org/pipermail/openssh-unix-dev/2024-July/041430.html
Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2024-6387
Для Ubuntu: https://ubuntu.com/security/CVE-2024-6387
Для Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2024-6387
Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2024-6387.html
Для программных продуктов Siemens AG: https://cert-portal.siemens.com/productcert/html/ssa-446545.html
Для ОС Astra Linux Special Edition 1.8: обновить пакет openssh до 1:9.6p1-2~deb10u1astra8se5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2024-0905SE18MD