OpenSSH-Kryptografiesoftware behebt eine gefährliche Sicherheitslücke

    Der Open Source SSH-Protokoll-Client (OpenSSH) hat eine gefährliche Sicherheitsanfälligkeit mit der Kennung CVE-2016-0777 behoben . Diese Sicherheitsanfälligkeit war vom Typ Information Disclosure und war in den OpenSSH-Clientversionen 5.x, 6.x und 7.x vor Version 7.1p2 vorhanden. Es befand sich in der Funktion resend_bytes der Quelldatei der Quelldatei roaming_common.c und ermöglichte dem serverseitigen Prozess den Zugriff auf einen Teil des Clientspeichers mit vertraulichen Daten, einschließlich der Daten privater Verschlüsselungsschlüssel, die der Client beim Herstellen einer sicheren Verbindung verwendet.



    Die Sicherheitsanfälligkeit bezieht sich nur auf den OpenSSH-Client und nicht auf dessen Serverteil. Ein Angreifer, der einen legitimen SSH-Server kompromittiert hat, kann die privaten geheimen Schlüssel des Clients mithilfe einer Einstellung namens Roaming erhalten. Diese Standardeinstellung ist für den Client aktiv und ermöglicht es ihm, nach einer plötzlichen Trennung, die von Angreifern zum Ausnutzen verwendet wird, erneut eine Verbindung zum Server herzustellen.

    Posted einen Hinweis Sicherheit empfiehlt , dass Benutzer die Client - Software so schnell wie möglich aktualisieren. Ist dies nicht möglich, sollte dem Benutzer die Verwendung der Roaming-Funktion in der OpenSSH-Konfigurationsdatei untersagt werden. Dies kann mit den folgenden Befehlen erfolgen.

    Unter FreeBSD und Linux.

    echo 'UseRoaming no' | sudo tee -a / etc / ssh / ssh_config

    Unter Apple OS X:

    echo "UseRoaming no" >> ~ / .ssh / config

    Schließen Sie alle aktiven SSH-Sitzungen, um die Änderungen zu akzeptieren. Darüber hinaus werden Benutzer des OpenSSH-Clients aufgefordert, private Schlüssel erneut abzurufen, da diese möglicherweise kompromittiert werden. Die neuesten FreeBSD-, OpenBSD- und Linux-Distributionen wie Debian, Ubuntu und RedHat Enterprise Linux (RHEL) sind mit einer aktualisierten Version von OpenSSH ausgestattet.

    Die Sicherheitsanfälligkeit gilt nicht für Benutzer des PuTTY SSH-Clients für Windows. Zuvor Spezialisten des Unternehmens Qualys veröffentlicht auf seiner Website Informationen zu dieser Anfälligkeit und andere Client - OpenSSH sowie Proof-of-Concept - Exploit - Code.

    Bild
    sei sicher.

    Jetzt auch beliebt: