CVE-2023-48795
OpenSSH Terrapin: удаление сообщений при начальном обмене
Terrapin (CVE-2023-48795) позволяет находящемуся между сторонами атакующему удалять часть ранних SSH-сообщений при выполнении криптографических условий. Обновите обе стороны: защита OpenSSH 9.6 работает при поддержке strict KEX у клиента и сервера.
Кому нужно проверить
Администраторам SSH-клиентов и серверов, а также владельцам сетей с недоверенными промежуточными узлами. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Атакующий на пути соединения может вставить сообщения до начала шифрования, а затем удалить столько же последовательных ранних сообщений без обнаружения. Удаление большинства сообщений обычно блокирует аутентификацию; подтверждённое влияние ограничено начальным обменом и указанными функциями защиты от timing analysis.
Затронутые версии
Уязвимы SSH-реализации до включения защиты Terrapin, если доступны совместимые шифры и MAC, позволяющие описанный префиксный truncation-атакующий сценарий, и атакующий может перехватывать соединение. OpenSSH 9.6 добавил strict KEX; не всякая реализация или комбинация алгоритмов одинаково уязвима.
Исправленные версии
В OpenSSH исправление добавлено в 9.6 через strict KEX, автоматически согласуемый, когда его поддерживают обе стороны. Обновите и клиент, и сервер до исправленной реализации; для иных SSH-продуктов сверяйте advisory производителя.
Что сделать
- 1Инвентаризируйте клиентские и серверные SSH реализации, версии, crypto-policy и используемые алгоритмы; проверьте пакетные advisory, так как дистрибутив может иметь backport.
- 2Обновите OpenSSH до 9.6 или более нового поддерживаемого выпуска на обеих сторонах, чтобы стороны могли согласовать strict KEX. Обновление только одной стороны не обеспечивает согласование расширения.
- 3Если обновление невозможно сразу, ограничьте допустимые алгоритмы согласно рекомендациям производителя уязвимой реализации и протестируйте совместимость. Не отключайте алгоритмы без проверки удалённых клиентов.
- 4После обновления проверьте версии и успешное соединение с обычными peer-системами, контролируйте журналы согласования и постепенно выводите временные ограничения после обновления всего парка.
Защита Terrapin через согласование
Расширение защиты применяется при поддержке обеих сторон SSH-сессии.
- 1Проверить версии клиента и сервера
- 2Обновить обе стороны
- 3Убедиться в совместимом согласовании
- 4Снять временные ограничения после обновления парка
Примеры конфигурации и проверки
ssh -V 2>&1Запускайте на проверяемом клиенте без привилегий; команда только выводит версию. Для сервера выполните проверку пакета и версии sshd отдельно. Результат не показывает backport или фактическое согласование strict KEX с удалённой стороной.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.