Bulletin d'alerte du CERT-FR

Résumé

Le 1 juillet 2024, OpenSSH a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-6387.

Cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire à distance avec les privilèges root.

L'éditeur précise que les versions 8.5p1 à 9.7p1 sont vulnérables, de manière confirmée, sur des systèmes Linux 32 bits avec la glibc et l'ASLR activé. Toutefois, il est précisé que l'exploitation nécessite entre six et huit heures de connexions continues. De plus, il spécule que ces attaques pourraient être optimisées pour être plus rapides, à plus forte raison lorsque l'ASLR est désactivé.

L'éditeur ajoute que l'exploitation sur des systèmes 64 bits ou sans glibc semble possible mais n'a pas été démontrée.

Cette vulnérabilité a été découverte par des chercheurs de Qualys. Dans leur billet de blogue (cf. section Documentation), ceux-ci précisent que les versions antérieures à 4.4p1 d'OpenSSh sont également vulnérables. De plus, ils conseillent de vérifier la présence de très nombreuses lignes "Timeout before authentication" dans les journaux pour détecter de potentielles tentatives d'exploitations.

En date du 1 juillet 2024, certaines distributions Linux ont proposé des correctifs pour des versions vulnérables (cf. section Documentation).

Dans l'attente de la disponibilité de correctifs, Qualys conseille de modifier la valeur de LoginGraceTime à 0 dans le fichier de configuration. Cette mesure de contournement permet d'empêcher une exécution de code arbitraire à distance, mais rend la machine vulnérable à un déni de service à distance.