Nouvelle vulnérabilité OpenSSH

Sandro Sana : 1 juillet 2024 16:47

Une vulnérabilité critique récente dans OpenSSH, identifiée comme CVE-2024-6387, pourrait permettre l’exécution de code à distance non authentifié avec les privilèges root sur les systèmes Linux basés sur la glibc. Cette faille réside dans le composant serveur OpenSSH (sshd) et est due à une condition de concurrence critique dans le gestionnaire de signaux. La vulnérabilité a été réintroduite en octobre 2020 dans la version 8.5p1 d’OpenSSH, résolvant partiellement un problème vieux de 18 ans (CVE-2006-5051).

Détails de la vulnérabilité

La vulnérabilité affecte les versions d’OpenSSH comprises entre 8.5p1 et 9.7p1. Il permet aux attaquants d’exécuter du code arbitraire avec des privilèges élevés, entraînant une compromission complète du système. Ce problème est particulièrement pertinent car environ 14 millions d’instances de serveur OpenSSH potentiellement vulnérables sont exposées sur Internet.

Aperçu de CVE-2024-6387

La vulnérabilité CVE-2024-6387 est une condition de concurrence critique dans le gestionnaire de signal OpenSSH, présente dans les versions 8.5p1-9.7p1. Une condition de concurrence critique se produit lorsque l’exécution simultanée de processus ou de threads conduit à des résultats inattendus, permettant dans ce cas aux attaquants d’exécuter du code arbitraire avec les privilèges root sans authentification. Le problème a été introduit en 2020 et a rouvert une ancienne faille de 2006 (CVE-2006-5051).

Analyse technique

La condition de concurrence exploite la façon dont OpenSSH gère les signaux de processus, permettant aux attaquants de manipuler l’exécution du code. Les développeurs OpenSSH ont travaillé sur des correctifs pour résoudre ce problème, en publiant des mises à jour critiques. Les administrateurs système doivent appliquer ces mises à jour immédiatement pour protéger leurs systèmes.

Méthodes d’exploitation connues

Les attaquants peuvent exploiter CVE-2024-6387 à l’aide de charges utiles spécifiques ou d’exploits qui manipulent la condition de concurrence critique dans les signaux de processus. Ces méthodes peuvent inclure :

1. Charge utile d’élévation de privilèges : Un attaquant pourrait envoyer des signaux manipulés de manière à exécuter du code avec les privilèges root.
2. Scripts automatisés : Les exploits peuvent être inclus dans des scripts automatisés qui exécutent des commandes malveillantes dès que la condition de concurrence critique est déclenchée.
3. Outils de tests d’intrusion : Des outils comme Metasploit pourraient intégrer des modules spécifiques pour exploiter cette vulnérabilité, facilitant ainsi les attaques des pirates moins expérimentés.

Implications en matière de sécurité

Cette vulnérabilité est particulièrement préoccupante en raison du déploiement généralisé d’OpenSSH et de la gravité de l’impact, qui pourrait conduire à une compromission complète des systèmes concernés. Les serveurs exposés à Internet sont particulièrement menacés, et la communauté de la sécurité est appelée à surveiller attentivement tout exploit en circulation.

Donne-le à Shodan

Selon une recherche menée à l’aide du portail Shodan, il existe actuellement 6 689 hôtes sur Internet avec le port 22 exposé et la version vulnérable d’OpenSSH_9.7p1. La répartition de ces hôtes est la suivante :

• États-Unis : 1 625
• Allemagne : 1.097
• France : 441
• Russie : 440
• Pays-Bas : 311
• Chinois : 241
• Royaume-Uni : 235
• Finlande : 165
• Hong Kong : 137
• Japon : 136
• Canada : 135
• Suède : 126
• Singapour : 112
• Australie : 107
• Brésil : 100
• Suisse : 98
• Hongrie : 98
• Pologne : 95
• Italie: 85
• Inde : 75
• Espagne : 66
• Roumanie : 65

Implications possibles

Les implications en matière de sécurité pour les systèmes dont le port SSH est ouvert et exposé au monde sont importantes :

• Compromission du système : Les attaquants peuvent obtenir un accès root, leur permettant d’exécuter n’importe quelle commande, d’installer des logiciels malveillants ou même de supprimer des données.
• Botnets et attaques DDoS : Les systèmes compromis peuvent être utilisés pour créer des réseaux de zombies et lancer des attaques par déni de service distribué (DDoS).
• Le vol de données: Les attaquants peuvent accéder et voler des données sensibles, notamment des informations d’identification, des informations financières et des données personnelles.
• Menace persistante : Une fois compromis, un système peut être utilisé comme point d’entrée persistant pour d’autres attaques, à la fois au sein du réseau et vers d’autres réseaux.

Recommandations de protection

1. Mises à jour de logiciel: Assurez-vous de mettre à jour vers la dernière version d’OpenSSH disponible.
2. Restrictions d’accès: Implémentez des règles de pare-feu pour limiter les accès non autorisés aux serveurs.
3. Contrôle continu: Utilisez des systèmes de détection d’intrusion (IDS) pour surveiller les activités suspectes.
4. Contrôles de sécurité : Effectuez régulièrement des audits de sécurité et des tests d’intrusion pour identifier et atténuer toute vulnérabilité.

La découverte de cette vulnérabilité met en évidence l’importance cruciale de la sécurité dans les logiciels open source et la nécessité d’une vigilance et d’une maintenance constantes. Des incidents comme celui-ci démontrent à quel point d’anciennes vulnérabilités peuvent se reproduire, nécessitant une attention continue de la part des développeurs et des administrateurs système.