News regreSSHion: Millionen Linux-Systeme von OpenSSH-Lücke bedroht

[SSD960]

Auf dem Raspi (4 mit Raspian) ist wohl alles gut.

SSH - V ergibt: OpenSSH_8.4p1 Raspbian-5+deb11u3, O

Ergänzung (3. Juli 2024)

Wirklich? Ich glaube mittlerweile sind auch dort die Blackhats unterwegs und öffnen Sicherheitslücken ganz bewusst. Sowohl privat zum Spaß, als auch zur Bereicherung, als auch von Regierungsstellen beauftragt.

Davon gehe ich nicht aus.

 

[karuso]

Mit nichtbetroffenesBetriebssystemeinfügen.meme wäre das nicht passiert.

Richtig? Oh, wait ...

Aber eine Lücke von 2006 wird 2020 geöffnet und 2024 kommt ne News darüber, dass sie noch immer teils offen ist? O.o

Das ist halt schon etwas langsam tbh.

Nein. Die Lücke war schon geschlossen und ist mit 8.5p1 wieder eingeführt worden.
Also SSH Versionen ab 2020 sind wieder anfällig, die davor nicht.

Die Lücke ist eine Race-Condition die beim Loginabbruch ausgeführt wird. Die Meldung des Loginabbruchs im Logsystem ist nicht async sicher und kann zu einem Fehler führen.
Daher ist es extrem schwierig das ganze auszunutzen. Die angegebenen 6-8 stunden bezogen sich zB auf ein 32bit System, bei 64bit wird das ganze ungleich länger dauern. Dazu kommt dass der Angreifer wissen muss welche OS Version sich auf dem Ziel befindet und die Standardkonfiguration von SSH + glibc verwendet werden (Alpine Linux ist zB per se nicht darüber angreifbar).
Insgesamt ist es eher unwahrscheinlich dass das weitläufig ausgenutzt wird (wird selbst von den Entdeckern so angegeben). Der Aufwand ist enorm für eine sehr geringe Chance es ausnutzen zu können. Die Bewertung mit 9.9 ist damit sehr reißerisch gewählt um Aufmerksamkeit zu bekommen.

Die Lücke beschränkt sich im Übrigen nicht nur auf Linux. Während OpenBSD davon nicht betroffen ist ist es bei FreeBSD, Windows und macOS noch nicht klar, aber eher unwahrscheinlich.

 

[SSD960]

Wird Zeit, dass das Internet mit Rust neu geschrieben wird.

Gibt es da kein Lücken? Ist doch auch nur Software. Oder verstehe ich das nicht?

 

[kieleich]

SSH kannst du so konfigurieren, dass du dich nur mit SSH Key connecten kannst.

Ja und das macht hoffentlich ja auch jeder so

Aber es nutzt ja nichts wenn das Programm ein Bug hat

Andererseits, wenn ja, dann könnte auch wireguard von so etwas betroffen sein.

Ja aber Wireguard, passt im Vergleich zu Openssh, auf ein Bierdeckel. Weniger Optionen (nur Keys sonst Nix). Weniger Code, leichter zu Reviewen.

Mit wireguard will ich auf ein anderes Netzwerk zugreifen, per SSH in der Regel nur auf einen Server.

Ja das ist das was man bei Wireguard beachten muss. Wireguard macht ein ganzes Netzwerk. Das braucht dann auch wieder ein Firewall oder sonst, wenn dein Server dann eben doch mal anderweitig gehackt wird, hat der über Wireguard eben auch die Verbindung zu deinem PC, Smartphone, wie auch immer an jeglichen Router-Firewalls vorbei. Da sollte man die Dateifreigabe im LAN nicht übers Wireguard weiter tragen.

Aber das ist dann halt lokale Sicherheit die bei lokalen (virtuellen) LAN ins Spiel kommt. Das sind dann gezielte Angriffe gegen dich.

Aber bei so einer globalen weltweiten Sicherheitslücke ... bist du mit Wireguard erstmal aussen vor.

 

[sgenzel]

Wird nicht bei ordentlicher Entwicklung mind. ein Test geschrieben, der sicherstellt, dass die gefundenen Schwachstelle geschlossen ist und es dann auch bleibt? 🤔

 

[karuso]

@SSD960
Rust ist per se sicherer als z.B. C oder C++ da es eine eigene Speicherverwaltung und einige Sicherheitsmaßnahmen hat die unsicheren Code verbieten(ja, man kann auch explizit unischeren Code schreiben was z.B. bei Treibern notwendig ist, ist aber nicht der Normalfall). Es werden gerade jede Menge Projekte in Rust neu geschrieben wegen genau dieser Eigenschaften.

 

[Blutschlumpf]

Ich mache mir bei sowas weniger Sorgen um die Rechner auf denen direkt und wissentlich Linux läuft, egal ob Desktop oder Server.
Ich frage mich eher wie viele Millionen Router, Switches, Access Points, TV Boxen, NAS, Wechselrichter, Kühlschränke, Waschmaschinen und was weiß ich was alles noch mit irgendeinem embeffed Linux läuft jetzt für alle Zeit angreifbar sein wird weil es für die Geräte keine Updates mehr vergibt.

Zu der Diskussion 32 vs 64 bit: wenn ich das richtig verstanden habe, dann sind alle Architekturen angreifbar aber den exploit haben die nur für 32 Bit gebaut.

 

[SSD960]

Einige Geräte werden wohl nie gepatched und der Benutzer kann SSH vermutlich auch nicht abschalten.

 

[kieleich]

Zu der Diskussion 32 vs 64 bit: wenn ich das richtig verstanden habe, dann sind alle Architekturen angreifbar aber den exploit haben die nur für 32 Bit gebaut.

beim exploit schreiben, bist du ja "fertig" sobald es überhaupt irgendwie funktioniert

das muss nicht der beste effizienteste machbare exploit sein. die lücke ist so oder so da

die mehrarbeit für die pratkische ausnutzung wird sich dann eher der ganove machen als der sicherheits forscher

 

[Donnidonis]

@SSD960
Das ist ja leider immer so, besonders auch im Embedded Bereich. Das gute: niemand muss ein SSH Server offen ins Netz hängen, Firewall mit VPN davor und man hat seine Ruhe.
Aber wenn man schon sieht wie viele Menschen unwissentlich IP Kameras offen im Netz haben, ist so ein SSH Server das kleinste Problem .

 

[mike78sbg]

Ja aber Wireguard, passt im Vergleich zu Openssh, auf ein Bierdeckel. Weniger Optionen (nur Keys sonst Nix). Weniger Code, leichter zu Reviewen.

Was dennoch nicht ausschließt, dass du in wireguard einen Bug hast.

OpenSSH ist in der Regel sehr sehr sicher. Und diese Lücke aktiv auszunutzen ist auch nicht so einfach. Vor allem, da sich diese Lücke bisher nur auf 32Bit Systeme bezieht.

Ich finds einfach Panikmache und Unsinn, so zu tun, als ob SSH nun unsicher wäre, und man stattdessen wireguard nutzen soll.

 

[aragorn92]

openssh server und client sind installiert via optionale Features von Windows.
OpenSSH_for_Windows_8.6p1, LibreSSL 3.4.3
kp wie ich da was updaten soll wenn es keine builds/updates gibt seitens windows.
https://github.com/PowerShell/Win32-OpenSSH/issues/2249

habe openssh voerst inbound/exbound blockiert...

Windows ist davon nicht betroffen. Das betrifft nur OpenSSH Versionen, die mit glibc (nicht für Windows verfügbar) komplimiert wurden. Betrifft also nur Linux/Unix Systeme.

 

[kieleich]

Ich finds einfach Panikmache und Unsinn, so zu tun, als ob SSH nun unsicher wäre, und man stattdessen wireguard nutzen soll.

stattdessen -> zusätzlich

und wireguard ist das beste was uns in den letzten jahren passiert ist und das plattform übergreifend. was bei den fest gefahrenen strukturen eine ausnahme erscheinung ist. sorry wenn das eine gewisse begeisterung auslöst. ja ich höre auf und bin raus hier tschüss

 

[Helge01]

@Blutschlumpf Du meinst das all bei diesen Geräten der SSH Port aktiviert und vom Internet aus erreichbar ist? Warum sollte das sein?

 

[Hancock]

@SSD960
Rust ist per se sicherer als z.B. C oder C++ da es eine eigene Speicherverwaltung und einige Sicherheitsmaßnahmen hat die unsicheren Code verbieten(ja, man kann auch explizit unischeren Code schreiben was z.B. bei Treibern notwendig ist, ist aber nicht der Normalfall). Es werden gerade jede Menge Projekte in Rust neu geschrieben wegen genau dieser Eigenschaften.

Leider ist das kein C Problem sonder ein Unix-Signal-Race-Condition Problem. Rust wäre genauso betroffen.

 

[longusnickus]

Einige Geräte werden wohl nie gepatched und der Benutzer kann SSH vermutlich auch nicht abschalten.

man weiß doch nicht mal wie man die lücke ausnutzen kann
geht das über das internet? ist der PC überhaupt über das internet erreichbar? muss man im selben netzwerk sein, oder sogar direkt vor dem PC stehen?

 

[Termy]

Warum sollte das sein?

Weil leider viel zu viele Hersteller einfach strunzfaul sind und den einfachsten und billigsten Weg gehen, während Sicherheitsaspekte komplett im Hintergrund bleiben und ignoriert werden. Ich will nicht wissen, wieviele solche Geräte per Standard-Key oder sogar Standard-Passwort per SSH erreichbar sind, um z.b. dem Support einfachen Zugang zu ermöglichen.

 

[SSD960]

man weiß doch nicht mal wie man die lücke ausnutzen kann
geht das über das internet? ist der PC überhaupt über das internet erreichbar? muss man im selben netzwerk sein, oder sogar direkt vor dem PC stehen?

Na das geht ja nur über das Internet wenn veröffentlicht

 

[Helge01]

@Termy Aber doch nicht vom Internet aus erreichbar. Das wäre ohne Einrichtung am Router überhaupt nicht möglich. Bei Routern ist SSH auch meist standardmäßig deaktiviert und auf gar keinem Fall aus dem Internet aus erreichbar.

Bei all den Geräten müsste SSH aktiviert und zusätzlich am Router per Portweiterleitung/Firewall der SSH Port freigegeben sein. Das ist völlig unrealistisch.

 

[sikarr]

Unsere Debian Server stehen jetzt nicht offen im Netz, dennoch sind sie gepatched, war jetzt auch nicht wirklich der Akt.

Aber schön wie schnell halt Patches verfügbar waren, nicht so wie aus Redmond.