该漏洞是由于OpenSSH服务 (sshd) 中的信号处理程序竞争问题,未经身份验证的攻击者可以利用此漏洞在Linux系统上以root身份执行任意代码。目前该漏洞技术细节已在互联网上公开,该漏洞影响范围较大,建议客户尽快做好自查及防护。

详情请见 >>

影响版本: 8.5p1 <= OpenSSH < 9.8p1

目前openssh官方已提供补丁下载:
https://www.openssh.com/releasenotes.html

Debian & Ubuntu 发行版安全更新跟踪与公告:

Debian:
https://security-tracker.debian.org/tracker/DSA-5724-1

Ubuntu:
https://ubuntu.com/security/notices/USN-6859-1

如果你和我一样,用的是debian12(亚马逊aws EC2的主要版本),考虑下面的解决方法:

这次安全问题受影响的主要以Debian 12为主, apt update && apt upgrade -y 更新系统后,可以命令 ssh -V 查看版本号 OpenSSH_9.2p1 Debian-2+deb12u3 为最新版,注意后面u3,这是无问题版本。

证据:


否则,说明你的Debian没有安全源,导致不能更新到最新版,可以先添加安全源再更新:

vi /etc/apt/sources.list

添加下面内容:

deb http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
deb-src http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware

然后再 apt update && apt upgrade -y 更新系统就好了。

如果你的系统发行版没有更新软件包,可以设置sshd 缓解漏洞影响:

echo 'LoginGraceTime 0' >> /etc/ssh/sshd_config
systemctl restart sshd

作者 灰武士

发表回复

您的电子邮箱地址不会被公开。 必填项已用 * 标注