Des millions de serveurs OpenSSH potentiellement vulnérables à l’attaque regreSSHion

Une nouvelle faille de sécurité critique a été corrigée dans OpenSSH ! En l'exploitant, un attaquant non authentifié pourrait exécuter du code à distance avec les privilèges "root" sur une machine Linux. Faisons le point.

Pour rappel, le très populaire OpenSSH (Open Secure Shell) est un ensemble d'outils libres qu'il est possible d'utiliser pour établir des connexions sécurisées entre deux hôtes, notamment grâce au protocole SSH.

La vulnérabilité CVE-2024-6387 présente dans le serveur OpenSSH (sshd) permet l'exécution de code à distance non authentifié (RCE) en tant que root sur les systèmes Linux basés sur la glibc. Il est important de noter que cette vulnérabilité est liée à une race condition, et qu'elle affecte sshd dans sa configuration par défaut. Néanmoins, ceci complexifie son exploitation.

Dans le cas où l'exploitation de la CVE-2024-6387 réussie, l'attaquant peut compromettre le serveur où OpenSSH est installé et en prendre le contrôle. Ceci ouvre la porte à un vol de données, à la mise en place d'un accès persistant, etc.

Les chercheurs en sécurité de chez Qualys, qui ont surnommé cette faille de sécurité "regreSSHion", ont mis en ligne un rapport complet à son sujet. D'ailleurs, Qualys précise avoir identifié pas moins de 14 millions de serveurs OpenSSH potentiellement vulnérables et exposés sur Internet. "Sur la base de recherches effectuées à l'aide de Censys et de Shodan, nous avons identifié plus de 14 millions d'instances de serveurs OpenSSH potentiellement vulnérables et exposées à l'internet.", peut-on lire.

Qui est affecté ? Comment se protéger ?

La faille de sécurité CVE-2024-6387 est la renaissance d'une vulnérabilité déjà corrigée dans OpenSSH, il y a plus de 15 ans. "D'après notre analyse de sécurité, nous avons identifié que cette vulnérabilité est une régression de la vulnérabilité CVE-2006-5051 précédemment corrigée, qui a été signalée en 2006.", précise les chercheurs en sécurité. Cette faille de sécurité a été réintroduite en octobre 2020 lors de la sortie d'OpenSSH 8.5p1.

Concrètement, la vulnérabilité affecte les versions d'OpenSSH comprises entre les versions 8.5p1 et 9.7p1. De plus, les versions antérieures à la version 4.4p1 sont également vulnérables à cette race condition, sauf si elles sont protégées contre les vulnérabilités CVE-2006-5051 et CVE-2008-4109. L'installation du correctif est recommandée dès que possible, surtout pour les serveurs et équipements exposés sur Internet.

Si votre système est vulnérable et que vous ne pouvez pas le mettre à jour dans l'immédiat, voici la mesure de protection alternative proposée par Qualys : "Si sshd ne peut pas être mis à jour ou recompilé, définissez LoginGraceTime à 0 dans le fichier de configuration. Cela expose sshd à un déni de service en utilisant toutes les connexions MaxStartups, mais évite le risque d'exécution de code à distance."

Pour rappel, voici le chemin vers le fichier de configuration d'OpenSSH Server :

/etc/ssh/sshd_config

Pour afficher la version d'OpenSSH installée sur votre serveur, utilisez cette commande :

ssh -V

Enfin, si vous utilisez OpenBSD, nous avons une bonne nouvelle pour vous : "Les systèmes OpenBSD ne sont pas affectés par ce bogue, car OpenBSD a développé en 2001 un mécanisme sécurisé qui prévient cette vulnérabilité.", précise le rapport.

Source

Florian BURNEL Co-founder of IT-Connect

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

See Full Bio