Hirdetés

Komoly veszélyben vannak a linuxos szerverek!

Már egy hete megjelent a bejegyzés, de a szaksajtó csak most figyelt fel rá: egy biztonsági kutató posztjában azt írja, hogy a linuxos környezetben népszerű OpenSSH szoftver(család)ban egy olyan egyszerű hiba található, melyet kihasználva a támadó a mai lehetőségekkel élve viszonylag gyorsan megfejtheti a számára szükséges jelszavakat, mivel a próbálkozások száma nincs a megfelelő módon korlátozva, így a „brute force” támadások ellen nincs védve a rendszer.

A hiba komolyságát jelzi, hogy július 19-én a magyar CERT is kiadott egy figyelmeztetést, mely szerint OpenSSH keyboard-interactive hitelesítési sérülékenysége vált ismertté, amelyet kihasználva a támadók a MaxAuthTries érték megkerülésével brute force támadást hajthatnak végre. Az OpenSSH alapértelmezés szerint 6 sikertelen hitelesítési próbálkozás után zárja le a kapcsolatot (az SSH kliens alapértelmezése 3). A sérülékenység kihasználásával a támadó kérheti, hogy annyi jelszópromptot kapjon, amennyi a „login graced time” beállítás idejébe belefér, és ez az alapértelmezés szerint 2 perc.

Hirdetés

Különösen a FreeBSD rendszerek érintettek, mert ott a „keyboard-interactive” hitelesítési mód engedélyezett alapértelmezés szerint.

Ha a támadó 10 ezer „keyboard-interactive” eszközt kér, az OpenSHH készségesen eleget tesz a kérésnek, mindaddig, amíg a fent említett időkorlát le nem telik.

A sebezhetőség feltárója egy igen egyszerű minta exploitot is elkészített:

ssh -lusername -oKbdInteractiveDevices=`perl -e 'print "pam," x 10000'` targethost

A sebezhetőség feltárója a javítás megjelenéséig védekezésként a következőket ajánlja a rendszergazdáknak:

  • a titkosítási kulcspár legalább 2048 bites legyen
  • erős jelszó használata a privát kulcs megvédéséhez
  • a rendelkezésre álló időt (grace time) 20-30 másodpercre kell csökkenteni
  • a Fail2Ban vagy a Pam-Shield használata a sikertelen próbálkozások limitálásához
  • Kapcsolódó cégek:

Azóta történt

Előzmények