Kritična ranjivost u OpenSSH
Dana 1. srpnja 2024. prijavljena je nova OpenSSH ranjivost za neautentificirano udaljeno izvršavanje kôda (engl. remote code execution – RCE) nazvana regreSSHion, koja zahvaća Linux sustave temeljene na glibc-u. Ranjivost identificirana kao CVE-2024-6387, omogućava udaljenim napadačima izvršavanje proizvoljnog kôda pod root privilegijama zbog race condition propusta u sshd-u.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
Iskorištavanje ranjivosti može dovesti do potpune kompromitacije sustava, gdje napadač može izvršiti proizvoljni kôd s najvišim privilegijama, što rezultira potpunim preuzimanjem sustava, instalacijom zlonamjernog softvera, manipulacijom podacima i stvaranjem backdoora za stalni pristup čime se olakšava širenje unutar mreže, omogućujući napadačima da koriste kompromitirani sustav kao uporište za prelazak i iskorištavanje drugih ranjivih sustava unutar organizacije.
Zahvaćeni proizvodi:
- Ranjivost regreSSHion zahvaća OpenSSH poslužitelje na Linuxu od verzije 8.5p1 do, ali ne uključujući, 9.8p1.
- Verzije od 4.4p1 do, ali ne uključujući 8.5p1, nisu ranjive na CVE-2024-6387 zahvaljujući zakrpi za CVE-2006-5051, koja je osigurala prethodno nesigurnu funkciju.
- Verzije starije od 4.4p1 ranjive su na regreSSHion osim ako nisu zakrpane za CVE-2006-5051 i CVE-2008-4109. OpenBSD sustavi nisu zahvaćeni ovom ranjivošću zahvaljujući sigurnosnom mehanizmu uvedenom još 2001. godine.
Preporuke:
Preporučuje se pregled i primjena ispravaka iz sigurnosnih objava distribucija Linuxa, popis ranjivih distribucija nije konačan, a u trenutku pisanja obavijesti sljedeće distribucije su ranjive:
- Ubuntu
- Debian
- RedHat
Međutim, ako se ažuriranje ne može odmah primijeniti, potrebno je postaviti LoginGraceTime na 0 u sshd konfiguracijskoj datoteci, ali time treba imati na umu da se tako poslužitelj izlaže napadima uskraćivanja usluge (engl. Denial of Service - DoS).
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.bleepingcomputer.com/news/security/new-regresshion-openssh-rce-bug-gives-root-on-linux-servers/
- https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server
- https://ubuntu.com/security/CVE-2024-6387
- https://security-tracker.debian.org/tracker/CVE-2024-6387
- https://access.redhat.com/security/cve/cve-2024-6387
- https://thehackernews.com/2024/07/new-openssh-vulnerability-could-lead-to.html
[inicijalna objava: 2.7.2024 - 14:14]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima