Rilasciato OpenSSH 9.8
Il progetto OpenSSH ha annunciato il rilascio di OpenSSH 9.8, disponibile per il download sui suoi mirror ufficiali. Questa versione ha corretto il problema critico CVE-2024-6387 riscontrato nelle versioni Portable OpenSSH da 8.5p1 a 9.7p1. La differenza principale tra OpenSSH e OpenSSH Portable è che la versione Portable è stata adattata per funzionare su una varietà di sistemi operativi. Mentre lo sviluppo normale di OpenSSH produce una versione molto piccola, sicura e facile da mantenere per il progetto OpenBSD, il team di portabilità di OpenSSH prende quella versione pura e aggiunge codice di portabilità per consentire a OpenSSH di funzionare su molti altri sistemi operativi. Questo include sistemi come AIX, HP-UX, Irix, Linux, macOS, Solaris e altri. Le versioni portable sono contrassegnate con una ‘p’ (ad esempio, 9.8p1), mentre la versione ufficiale di OpenBSD non userà mai il suffisso ‘p’, ma invece incrementerà il numero di versione quando raggiunge punti stabili nello sviluppo.
La vulnerabilità riscontrata nella versione Portable quindi interessa direttamente i sistemi Linux e consente potenzialmente l’esecuzione di codice arbitrario con privilegi di root. Ha interessato in particolare i sistemi Linux a 32 bit con ASLR (Address Space Layout Randomization). Sebbene l’exploit non sia stato dimostrato su sistemi a 64 bit, la possibilità permane, aumentando il rischio per i sistemi privi di un’efficace randomizzazione del layout dello spazio di indirizzamento ASLR.
Tutto nasce dai ricercatori di sicurezza di Qualys che sono riusciti a sfruttare con successo una vulnerabilità nel server OpenSSH sshd, che è stata catalogata e chiusa nel 2006 come CVE-2006-5051, senza essere stata sfruttata in quel momento. Purtroppo gli sviluppatori di OpenSSH hanno involontariamente reinstallato la vulnerabilità, ora catalogata come CVE-2024-6387, nel 2020. Questa consente a un utente malintenzionato di assumere il controllo remoto di un sistema basato su glibc. Ciò che complica tutto ciò è che l’aggressore riceve automaticamente i diritti di root. Ciò è mitigato dal fatto che lo sfruttamento è relativamente complesso e richiede pazienza e tempismo speciale, infatti si ritiene che solo un tentativo di attacco su circa 10.000 riesce.
Tuttavia, si è notato che gli strumenti di intelligenza artificiale possono essere utilizzati per superare le difficoltà pratiche e aumentare il tasso di sfruttamento positivo. Qualys ha anche pubblicato un articolo più tecnico che approfondisce il processo di sfruttamento e le potenziali strategie di mitigazione.
Da diversi anni ad ogni grande falla di sicurezza viene assegnato un nome e un logo. Ciò vale anche per la nuova vecchia vulnerabilità di sicurezza in OpenSSH, denominata RegreSSHion. Il nome suggerisce che questo divario già esisteva, ed è così.
La falla regreSSHion ha ripercussioni sui server OpenSSH su Linux dalla versione 8.5p1 fino alla 9.8p1 esclusa. Le versioni dalla 4.4p1 alla 8.5p1 esclusa non sono vulnerabili a CVE-2024-6387 grazie a una patch per CVE-2006-5051, che ha protetto una funzione precedentemente non sicura. Le versioni precedenti alla 4.4p1 sono vulnerabili a RegreSSHion, a meno che non vengano corrette per CVE-2006-5051 e CVE-2008-4109.
Qualys sottolinea inoltre che i sistemi OpenBSD non sono interessati da questa falla grazie a un meccanismo di sicurezza introdotto nel 2001. I ricercatori di sicurezza notano anche che, sebbene regreSSHion esista probabilmente anche su macOS e Windows, la sua sfruttabilità su questi sistemi non è stata confermata. È necessaria un’analisi separata per determinare se quei sistemi operativi sono vulnerabili.
Le scansioni di Shodan e Censys hanno rivelato oltre 14 milioni di server OpenSSH esposti su Internet, ma Qualys ha confermato lo stato di vulnerabilità per 700.000 istanze sulla base dei suoi dati CSAM 3.0.
Con la nuova versione OpenSSH 9.8 il problema è ora definitivamente risolto per i sistemi Linux con la versione OpenSSH 9.8p1.
Un’altra correzione fondamentale riguardava un errore logico dalle versioni 9.5 alla 9.7, che rendeva inefficace la funzionalità ObscureKeystrokeTiming. Questa vulnerabilità potrebbe consentire a un osservatore passivo di rilevare le sequenze di tasti, ponendo un rischio, in particolare quando vengono inserite informazioni sensibili come le password.
OpenSSH prevede di eliminare completamente il supporto per l’algoritmo di firma DSA entro l’inizio del 2025. Questa versione ha già disabilitato le chiavi DSA per impostazione predefinita a causa delle loro debolezze intrinseche e della tecnologia obsoleta. Gli utenti che richiedono DSA possono riabilitarlo tramite opzioni di build specifiche descritte nelle note di rilascio.
Inoltre, OpenSSH 9.8 introduce un nuovo sistema di penalità in sshd, bloccando gli indirizzi che mostrano comportamenti sospetti come ripetuti tentativi di autenticazione falliti. Questa funzionalità mira a migliorare la sicurezza riducendo il rischio di attacchi brute-force.
Oltre a questi miglioramenti, l’aggiornamento include numerose correzioni di bug in tutta la suite di strumenti e alcune modifiche potenzialmente incompatibili, come la rimozione di alcune funzionalità obsolete e modifiche nel comportamento del server.
Infine, la release si concentra anche sulla compatibilità del sistema e sui miglioramenti della build, assicurando un supporto più ampio su sistemi e configurazioni diversi. In particolare, migliora le capacità di rilevamento per le configurazioni OpenSSL e introduce modifiche per supportare le notifiche per systemd negli ambienti che lo utilizzano.
Per informazioni dettagliate su tutte le modifiche in OpenSSH 9.8 puoi leggere l’annuncio di rilascio.
Disponibile in formato TAR sul sito del progetto e presto disponibile per tutte le distribuzioni GNU/Linux.
Fonte: https://www.openssh.com/txt/release-9.8
Fonte: https://www.bleepingcomputer.com/news/security/new-regresshion-openssh-rce-bug-gives-root-on-linux-servers/
Fonte: https://linuxnews.de/regresshion-neue-ssh-sicherheitsluecke/
Fonte: https://linuxiac.com/openssh-9-8-fixes-critical-sshd-vulnerability/
Se vuoi sostenerci, puoi farlo acquistando qualsiasi cosa dai diversi link di affiliazione che abbiamo nel nostro sito o partendo da qui oppure alcune di queste distribuzioni GNU/Linux che sono disponibili sul nostro negozio online, quelle mancanti possono essere comunque richieste, e su cui trovi anche PC, NAS e il ns ServerOne. Se ti senti generoso, puoi anche donarmi solo 1€ o più se vuoi con PayPal e aiutarmi a continuare a pubblicare più contenuti come questo. Grazie!
Hai dubbi o problemi? Ti aiutiamo noi!
Se vuoi rimanere sempre aggiornato, iscriviti al nostro canale Telegram.Se vuoi ricevere supporto per qualsiasi dubbio o problema, iscriviti alla nostra community Facebook o gruppo Telegram.
Cosa ne pensi? Fateci sapere i vostri pensieri nei commenti qui sotto.
Ti piace quello che leggi? Per favore condividilo con gli altri.
