OpenSSH 远程执行漏洞&修复指南
内容提要
OpenSSH 9.8p1-1修复了CVE-2024-6387远程代码执行漏洞，建议用户更新并重启sshd服务。APT源已更新，但中国的镜像可能尚未同步。用户可以尝试使用命令“apt install --only-upgrade openssh-server”进行升级。如果升级失败，用户可以尝试手动编译和更新。在紧急情况下，建议要么阻止传入的SSH流量，要么完全禁用SSH服务。
延伸解读
更新后必须重启 sshd 服务
文章特别强调，更新 OpenSSH 后必须在断开当前连接前重启 sshd 服务。否则，不仅漏洞不会被修复，还可能无法再次连接服务器。值得注意的是，重启 sshd 服务并不会中断已有的 SSH 连接，因此可以安全执行。这一步骤容易被忽略，但至关重要。
国内镜像同步延迟的应对
Debian 官方 APT 源已更新，但国内镜像可能尚未同步。用户可尝试使用“apt install --only-upgrade openssh-server”命令升级。如果回显显示已是最新版本（如 1:9.2p1-2+deb12u3），说明该版本也已修复漏洞。若升级失败，可考虑手动编译或等待镜像同步。
手动编译更新的注意事项
如果 APT 源尚未跟进，可尝试手动编译 OpenSSH 9.8p1。但编译对系统环境和配置有要求，不干净的系统可能失败。若出现“make[1]: Nothing to be done for 'all'”或大量编译错误，即表示编译未通过。编译失败没有额外副作用，删除源码包和编译目录即可，但需另寻修复方法。
紧急情况下的临时处置方案
若暂时无法修复漏洞，文章建议采取临时措施：一是在 ECS 安全组中封禁 SSH 传入流量，同时保留 SSH 服务；二是彻底关闭 SSH 服务端。然后等待 APT 源更新，或寻找编译好的 deb 包手动安装。这些操作可降低风险，但需权衡对业务的影响。
Q&A
OpenSSH 9.8p1-1 修复了什么漏洞？
OpenSSH 9.8p1-1 修复了 CVE-2024-6387 远程代码执行漏洞。
如何更新 OpenSSH 到最新版本？
用户可以使用命令 'apt install --only-upgrade openssh-server' 尝试升级 OpenSSH。
更新 OpenSSH 后需要做什么？
更新后需重启 sshd 服务，否则可能无法再次连接，且漏洞不会被修复。
如果升级失败，我该怎么办？
用户可以尝试手动编译和更新，满足系统环境和配置要求。
在紧急情况下，我该如何处理 SSH 服务？
建议封禁 SSH 传入流量或彻底关闭 SSH 服务，等待 APT 源更新。
国内镜像更新的情况如何？
当前 Debian 官方 APT 源已更新，但国内镜像可能尚未同步。
