CVE-2024-6387：1400万台OpenSSH受“regreSSHion”影响
内容提要
Qualys TRU发现了一个严重的OpenSSH服务器远程代码执行漏洞，影响超过1400万个实例。该漏洞允许远程攻击者在受影响的系统上以root身份执行代码。该漏洞是先前修补的问题（CVE-2006-5051）的回归，并在OpenSSH 8.5p1版本中重新引入。该漏洞可被利用以获取root访问权限、部署恶意软件、操纵数据和创建后门。建议组织应用可用的补丁、限制SSH访问、实施网络分割和部署入侵检测系统。OpenSSH广泛用于基于Unix的系统，该漏洞影响约70万个外部面向的实例。如果无法升级到9.8p1版本，建议将服务器从互联网中移除或在配置文件中将“LoginGraceTime”设置为零。
延伸解读
漏洞的回归本质
CVE-2024-6387并非全新漏洞，而是2006年已修补问题（CVE-2006-5051）的回归。OpenSSH 8.5p1版本意外删除了关键组件，导致漏洞重新引入。这提醒我们，代码重构或功能更新时可能无意中重新引入旧漏洞，因此持续的安全审计和回归测试至关重要。
利用条件与潜在影响
成功利用该漏洞需要复杂的远程竞争条件，攻击者需多次尝试才能触发。一旦得手，攻击者可以root身份执行代码，完全控制系统、部署恶意软件、操纵数据并创建后门，还能绕过ASLR等安全机制，导致内存损坏，并可能引发横向移动，危及整个网络。
缓解措施与权衡
组织应立即应用补丁，并限制SSH访问、实施网络分段和部署入侵检测系统。若无法升级到9.8p1，可将服务器从互联网移除，或在配置文件中将LoginGraceTime设置为零。但后者可能使服务器容易遭受拒绝服务攻击，因此需权衡安全性与可用性。
受影响范围与风险分布
该漏洞影响OpenSSH 8.5p1至9.8p1（不包括9.8p1）的版本，而4.4p1至8.5p1以及已修补CVE-2006-5051和CVE-2008-4109的版本不受影响。OpenBSD系统因自2001年以来的安全机制而免疫。全球约1400万个实例可能受影响，其中约70万个面向互联网，占全球客户群的31%，且0.14%运行已停产版本，风险更高。
Q&A
CVE-2024-6387漏洞的影响有多大？
该漏洞影响超过1400万个OpenSSH实例，允许远程攻击者以root身份执行代码。
CVE-2024-6387漏洞是如何产生的？
该漏洞源于之前修补的问题（CVE-2006-5051）的回归，因在OpenSSH 8.5p1版本中意外删除了关键组件。
如何减轻CVE-2024-6387漏洞带来的风险？
组织应及时应用可用补丁、限制SSH访问、实施网络分段和部署入侵检测系统。
哪些OpenSSH版本受到CVE-2024-6387漏洞的影响？
受影响的版本为8.5p1到9.8p1（不包括9.8p1），而4.4p1到8.5p1的版本不存在漏洞。
利用CVE-2024-6387漏洞的后果是什么？
成功利用该漏洞可获取root访问权限，攻击者可完全控制系统、部署恶意软件、操纵数据并创建后门。
如果无法升级到9.8p1版本，我该怎么办？
建议将服务器从互联网中移除，或在配置文件中将'LoginGraceTime'设置为零。
