CVE-2024-6387
CVE-2024-6387 (regreSSHion): гонка сигналов в OpenSSH sshd
Проверьте серверы с Portable OpenSSH 8.5p1–9.7p1: ошибка обработки сигнала до аутентификации может привести к удалённому выполнению кода с правами root в определённых условиях. Установите обновление своего дистрибутива или OpenSSH 9.8 и новее.
Кому нужно проверить
Администраторам Linux-серверов с доступным извне SSH, владельцам VPS и специалистам эксплуатации, обслуживающим OpenSSH sshd. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При подходящей платформе удалённый неаутентифицированный атакующий может многократно инициировать соединения и потенциально добиться выполнения кода с правами root. Возможность и практическая сложность зависят от libc, архитектуры, ASLR и патчей дистрибутива.
Затронутые версии
Portable OpenSSH 8.5p1–9.7p1 включительно по upstream. Уязвима серверная программа sshd; OpenBSD не затронута. Для пакетов Linux проверяйте advisory поставщика: номера пакетов и backport исправления могут не совпадать с upstream.
Исправленные версии
Upstream OpenSSH 9.8 исправляет проблему. Установите исправленный пакет из репозитория ОС; например, Canonical указывает исправления для Ubuntu 24.04, 23.10 и 22.04 в пакетах 1:9.6p1-3ubuntu13.3, 1:9.3p1-1ubuntu3.6 и 1:8.9p1-3ubuntu0.10 соответственно.
Что сделать
- 1Определите установленную upstream-версию и источник пакета: проверьте версию sshd и changelog/advisory именно вашей ОС, так как backport исправления может сохранять старый номер версии.
- 2Сделайте резервную копию конфигурации SSH, проверьте доступ через консоль провайдера или альтернативный канал управления, затем установите обновление безопасности из доверенного репозитория.
- 3Если обновление пока невозможно, временная мера из advisory OpenSSH — установить LoginGraceTime 0 в sshd_config; это повышает риск отказа в обслуживании через исчерпание MaxStartups, поэтому применяйте только с согласованным планом и контролем доступности.
- 4Проверьте конфигурацию командой проверки синтаксиса sshd, перезапустите/перезагрузите службу по процедуре ОС и подтвердите новый пакет, успешный вход и журналы отказов. Не закрывайте текущую административную сессию до проверки второго входа.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.