FreeBSD 针对OpenSSH 高危漏洞发布紧急补丁
内容提要
FreeBSD发布紧急补丁修复OpenSSH的高危漏洞CVE-2024-7589，用户应尽快更新。另外，Qualys发现OpenSSH的远程代码执行漏洞CVE-2024-6387，影响超过1400万台服务器，用户应尽快更新到9.8p1及以上版本。
延伸解读
漏洞根源：FreeBSD 特有集成引入风险
CVE-2024-7589 源于 FreeBSD 对 OpenSSH 的 blacklistd 集成。sshd(8) 的信号处理器在特权上下文中调用了非异步信号安全的函数，当客户端未在 LoginGraceTime 内认证时触发。该代码未沙盒化且以 root 权限运行，攻击者可能借此远程执行任意代码。这提醒我们，下游厂商的定制化修改可能引入上游未有的安全风险。
临时缓解措施：LoginGraceTime 设为 0 的利弊
若无法立即更新，可将 /etc/ssh/sshd_config 中的 LoginGraceTime 设为 0 并重启 sshd。此举能消除竞争条件，防止远程代码执行，但会使守护进程容易遭受拒绝服务攻击。这是一种权衡：牺牲可用性来换取安全性，适合作为无法及时打补丁时的应急方案。
CVE-2024-6387 影响范围与版本判断
Qualys 发现的 CVE-2024-6387 影响超过 1400 万台服务器。版本影响情况：低于 4.4p1 受影响；4.4p1 至 8.5p1 不受影响；8.5p1 至 9.8p1 受影响。由于 8.5p1 之前版本已很老旧，可简单以 8.5p1 为界：低于 9.8p1 均需更新。用户应尽快升级到 9.8p1 或更高版本。
攻击难度与潜在威胁
利用 CVE-2024-6387 需要克服远程竞争条件、内存损坏和 ASLR 等障碍，攻击者可能需多次尝试才能成功。但一旦得手，攻击者能以最高权限执行任意代码，完全控制服务器，并绕过防火墙、入侵检测和日志记录。有能力的攻击者还可能利用深度学习技术提高成功率，因此尽快更新至关重要。
Q&A
CVE-2024-7589漏洞的影响是什么？
CVE-2024-7589漏洞允许黑客在权限提升的情况下远程执行任意代码，可能导致整个系统被控制。
FreeBSD用户应该如何应对这个漏洞？
FreeBSD用户应尽快更新到支持的版本并重启sshd，以减少潜在威胁。
CVE-2024-6387漏洞的特点是什么？
CVE-2024-6387是一个高危远程代码执行漏洞，影响超过1400万台服务器，攻击者可利用此漏洞以最高权限执行任意代码。
如何临时解决无法更新sshd(8)的问题？
可以通过将LoginGraceTime设置为0并重新启动sshd来解决竞争条件问题。
哪些OpenSSH版本受到CVE-2024-6387的影响？
受影响的OpenSSH版本包括低于4.4p1和高于4.4p1但低于8.5p1的版本。
攻击者如何利用这些漏洞？
攻击者可以利用这些漏洞以最高权限执行任意代码，控制系统并绕过安全机制。
