回归漏洞：推荐的行动和我们采取的步骤
内容提要
DigitalOcean发现OpenSSH（sshd）存在安全漏洞CVE-2024-6387，可能导致攻击者在易受攻击的Linux系统上获得远程根访问。用户需升级Droplets上的SSHD，特别是运行在容器中的服务，以确保系统安全。
延伸解读
漏洞利用的难度与时间成本
CVE-2024-6387 的利用需要赢得一个竞争条件，攻击者可能需要花费数小时才能成功。这意味着攻击并非瞬间完成，但一旦成功，攻击者将获得远程根访问权限。因此，尽管利用门槛较高，但潜在危害极大，用户不应因利用难度而忽视修复。
容器化环境中的 SSHD 升级要点
如果用户在以容器化工作负载（例如 Kubernetes Pod）中运行自己的 SSHD 服务，仅升级宿主机可能不够。需要升级容器内的 SSHD 服务并重新启动工作负载，以确保漏洞被修复。这一点常被忽略，但至关重要。
更新命令的选择与注意事项
DigitalOcean 提供了交互式和非交互式两种更新命令。交互式命令会询问如何处理 sshd_config 文件，适合需要保留自定义配置的用户；非交互式命令则自动保留现有 sshd_config，适合自动化脚本。使用 --only-upgrade 标志可确保仅升级已安装的包，避免意外安装新包。
系统全面更新的风险提示
虽然更新整个系统通常是好习惯，但文章提醒这可能会引入潜在的破坏性问题。因此，在修复 CVE-2024-6387 时，建议优先仅升级 OpenSSH 相关包，待评估后再考虑全面更新，以平衡安全性与稳定性。
Q&A
CVE-2024-6387漏洞的影响是什么？
该漏洞可能导致攻击者在易受攻击的Linux系统上获得远程根访问。
如何升级Droplets上的SSHD？
用户可以使用交互式命令或非交互式命令来升级SSHD，具体命令已在文章中提供。
利用CVE-2024-6387漏洞需要什么条件？
利用该漏洞需要赢得一个竞争条件，这个过程可能需要几个小时。
DigitalOcean对该漏洞采取了哪些措施？
DigitalOcean正在确保其内部环境中使用的OpenSSH版本已打补丁，并要求用户升级SSHD。
更新SSHD时需要注意什么？
更新时需要处理ssh_config文件的选项，用户可以选择保留旧文件或安装新文件。
CVE-2024-6387漏洞的修复是否影响系统稳定性？
更新整个系统可能会引入潜在的破坏性问题，因此需谨慎操作。
