CERTFR-2024-ALE-009
Vulnerability from certfr_alerte
Le 1 juillet 2024, OpenSSH a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-6387.
Cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire à distance avec les privilèges root.
L'éditeur précise que les versions 8.5p1 à 9.7p1 sont vulnérables, de manière confirmée, sur des systèmes Linux 32 bits avec la glibc et l'ASLR activé. Toutefois, il est précisé que l'exploitation nécessite entre six et huit heures de connexions continues. De plus, il spécule que ces attaques pourraient être optimisées pour être plus rapides, à plus forte raison lorsque l'ASLR est désactivé.
L'éditeur ajoute que l'exploitation sur des systèmes 64 bits ou sans glibc semble possible mais n'a pas été démontrée.
Cette vulnérabilité a été découverte par des chercheurs de Qualys. Dans leur billet de blogue (cf. section Documentation), ceux-ci précisent que les versions antérieures à 4.4p1 d'OpenSSh sont également vulnérables. De plus, ils conseillent de vérifier la présence de très nombreuses lignes "Timeout before authentication" dans les journaux pour détecter de potentielles tentatives d'exploitations.
En date du 1 juillet 2024, certaines distributions Linux ont proposé des correctifs pour des versions vulnérables (cf. section Documentation).
Dans l'attente de la disponibilité de correctifs, Qualys conseille de modifier la valeur de LoginGraceTime à 0 dans le fichier de configuration. Cette mesure de contournement permet d'empêcher une exécution de code arbitraire à distance, mais rend la machine vulnérable à un déni de service à distance.
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
| Title | Publication Time | Tags | ||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
||||||||||||||||||||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [
{
"description": "OpenSSH versions 8.5p1 \u00e0 9.7p1 ant\u00e9rieures \u00e0 9.8 et 9.8p1",
"product": {
"name": "N/A",
"vendor": {
"name": "OpenSSH",
"scada": false
}
}
}
],
"affected_systems_content": "",
"closed_at": "2024-10-07",
"content": "## Solutions\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des correctifs (cf. section Documentation).",
"cves": [
{
"name": "CVE-2024-6387",
"url": "https://www.cve.org/CVERecord?id=CVE-2024-6387"
}
],
"initial_release_date": "2024-07-01T00:00:00",
"last_revision_date": "2024-10-07T00:00:00",
"links": [
{
"title": "Bulletin de s\u00e9curit\u00e9 Debian",
"url": "https://security-tracker.debian.org/tracker/DSA-5724-1"
},
{
"title": "Billet de blogue Qualys du 01 juillet 2024",
"url": "https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server"
},
{
"title": "Avis de s\u00e9curit\u00e9 CERT-FR CERTFR-2024-AVI-0531 du 1 juillet 2024",
"url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0531/"
},
{
"title": "Avis de s\u00e9curit\u00e9 CERT-FR CERTFR-2024-AVI-0539 du 3 juillet 2024",
"url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0539/"
},
{
"title": "Bulletin de s\u00e9curit\u00e9 Red Hat du 01 juillet 2024",
"url": "https://access.redhat.com/security/cve/cve-2024-6387"
}
],
"reference": "CERTFR-2024-ALE-009",
"revisions": [
{
"description": "Version initiale",
"revision_date": "2024-07-01T00:00:00.000000"
},
{
"description": "Rectification de la date de publication de l\u0027avis de s\u00e9curit\u00e9 OpenSSH.",
"revision_date": "2024-07-10T00:00:00.000000"
},
{
"description": "Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
"revision_date": "2024-10-07T00:00:00.000000"
},
{
"description": "Ajout d\u0027un lien vers l\u0027avis CERT-FR CERTFR-2024-AVI-0539.",
"revision_date": "2024-07-03T00:00:00.000000"
}
],
"risks": [
{
"description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
}
],
"summary": "Le 1 juillet 2024, OpenSSH a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant la vuln\u00e9rabilit\u00e9 critique CVE-2024-6387.\n\nCette vuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant non authentifi\u00e9 d\u0027ex\u00e9cuter du code arbitraire \u00e0 distance avec les privil\u00e8ges *root*.\n\nL\u0027\u00e9diteur pr\u00e9cise que les versions 8.5p1 \u00e0 9.7p1 sont vuln\u00e9rables, de mani\u00e8re confirm\u00e9e, sur des syst\u00e8mes Linux 32 bits avec la *glibc* et l\u0027*ASLR* activ\u00e9. Toutefois, il est pr\u00e9cis\u00e9 que l\u0027exploitation n\u00e9cessite entre six et huit heures de connexions continues. De plus, il sp\u00e9cule que ces attaques pourraient \u00eatre optimis\u00e9es pour \u00eatre plus rapides, \u00e0 plus forte raison lorsque l\u0027*ASLR* est d\u00e9sactiv\u00e9.\n\nL\u0027\u00e9diteur ajoute que l\u0027exploitation sur des syst\u00e8mes 64 bits ou sans *glibc* semble possible mais n\u0027a pas \u00e9t\u00e9 d\u00e9montr\u00e9e.\n\nCette vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte par des chercheurs de Qualys. Dans leur billet de blogue (cf. section Documentation), ceux-ci pr\u00e9cisent que les versions ant\u00e9rieures \u00e0 4.4p1 d\u0027OpenSSh sont \u00e9galement vuln\u00e9rables. \nDe plus, ils conseillent de v\u00e9rifier la pr\u00e9sence de tr\u00e8s nombreuses lignes \"*Timeout before authentication*\" dans les journaux pour d\u00e9tecter de potentielles tentatives d\u0027exploitations.\n\nEn date du 1 juillet 2024, certaines distributions Linux ont propos\u00e9 des correctifs pour des versions vuln\u00e9rables (cf. section Documentation).\n\nDans l\u0027attente de la disponibilit\u00e9 de correctifs, Qualys conseille de modifier la valeur de *LoginGraceTime* \u00e0 0 dans le fichier de configuration. Cette mesure de contournement permet d\u0027emp\u00eacher une ex\u00e9cution de code arbitraire \u00e0 distance, mais rend la machine vuln\u00e9rable \u00e0 un d\u00e9ni de service \u00e0 distance.",
"title": "Vuln\u00e9rabilit\u00e9 dans OpenSSH",
"vendor_advisories": [
{
"published_at": "2024-07-01",
"title": "Bulletin de s\u00e9curit\u00e9 OpenSSH",
"url": "https://www.openssh.com/txt/release-9.8"
}
]
}
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
- Confirmed: The vulnerability is confirmed from an analyst perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
- Patched: This vulnerability was successfully patched by the user reporting the sighting.
- Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
- Not confirmed: The user expresses doubt about the veracity of the vulnerability.
- Not patched: This vulnerability was not successfully patched by the user reporting the sighting.