Mehr als 14 Millionen Server könnten anfällig für die RegreSSHion-RCE-Schwachstelle in OpenSSH sein. So müssen Sie vorgehen.
OpenSSH, die Grundlage für sichen Zugriff auf Linux-Netzwerke, weist eine schwerwiegende Sicherheitslücke auf.
Behalten Sie Ihre SSH-Schlüssel gut im Auge, Leute! Eine kritische Sicherheitslücke hat gerade OpenSSH erschüttert - die Grundlage für die sichere Fernwartung unter Linux. Dadurch sind erfahrene Systemadministratoren in Panik geraten.
Dieser schwerwiegende Fehler, der den Namen „regreSSHion“ erhielt und unter der Bezeichnung CVE-2024-6387 geführt wird, ermöglicht es Angreifern, ohne Authentifizierung beliebigen Code auf OpenSSH-Servern auszuführen, die unter Linux-Systemen mit glibc laufen. Es handelt sich dabei keineswegs um eine geringfügige Erweiterung der Benutzerrechte - dieser Fehler gewährt Angreifern vielmehr vollen Root-Zugriff.
Für alle, die schon öfter mit Linux zu tun hatten, fühlt sich das wie ein Déjà-vu an. Die Schwachstelle ist eine Rückkehr zu dem Fehler CVE-2006-5051 - einem Bug, der bereits im Jahr 2006 behoben wurde. Dieser „alte Feind“ schlich sich im Oktober 2020 irgendwie wieder in den Code hinein - und zwar in OpenSSH 8.5p1.
Glücklicherweise hat die Qualys Threat Research Unit dieses „digitale Skelett“ im Schrank von OpenSSH entdeckt. Leider betrifft diese Schwachstelle die Standardkonfiguration und kann ohne jegliche Benutzerinteraktion ausgenutzt werden. Mit anderen Worten: Es handelt sich um eine Schwachstelle, die Sicherheitsprofis schlaflose Nächte bereitet.
Es ist schwer, die potenziellen Auswirkungen dieses Fehlers zu überschätzen. OpenSSH ist der De-facto-Standard für sichen Fernzugriff und Dateiübertragung in Unix-ähnlichen Systemen - einschließlich Linux und macOS. Es ist das „Schweizer Taschenmesser“ für sichere Kommunikation für Systemadministratoren und Entwickler weltweit.
Die gute Nachricht ist, dass nicht alle Linux-Distributionen den anfälligen Code enthalten. Ältere OpenSSH-Versionen vor 4.4p1 sind anfällig für dieses Problem bezüglich des Signal-Handlers - sofern sie nicht mit Patches für CVE-2006-5051 und CVE-2008-4109 versehen wurden.
Versionen ab 4.4p1 bis einschließlich 8.5p1 sind nicht anfällig. Die schlechte Nachricht ist, dass die Schwachstelle in OpenSSH-Versionen ab 8.5p1 bis einschließlich 9.8p1 erneut auftritt - und zwar aufgrund des versehentlichen Entfernens eines kritischen Komponenten.
Qualys hat mehr als 14 Millionen potenziell anfällige OpenSSH-Server im Internet identifiziert. Das Unternehmen geht davon aus, dass etwa 700.000 dieser öffentlich zugänglichen Server definitiv anfällig sind.
Ein Patch für OpenSSH 9.8/9.8p1 ist nun verfügbar. Viele, aber nicht alle Linux-Distributionen haben ihn bereitgestellt. Falls Sie ihn erhalten können, installieren Sie ihn so schnell wie möglich.
Falls Sie aus irgendeinem Grund kein Update installieren können, sollten Sie sich vor der RegreSSHion-Schwachstelle schützen, indem Sie in der Konfigurationsdatei von sshd den Wert von LoginGraceTime auf 0 setzen (standardmäßig befindet sich diese Datei unter /etc/ssh/sshd_config). Diese Einstellung ist zwar keine perfekte Lösung - sie verhindert zwar Angriffe, macht Ihre Systeme aber gleichzeitig anfällig für potenzielle Denial-of-Service-(DoS)-Angriffe.
Stellen Sie daher sicher, den SSH-Zugriff auf Ihren Server mithilfe netzwerkbasierter Kontrollen einzuschränken, um potenzielle Angriffsvektoren zu begrenzen. Da dieser Angriffstyp viel Aufwand erfordert, sollten Sie Ihren Firewall- sowie Netzwerküberwachungs-Tools so konfigurieren, dass sie die große Anzahl an Verbindungen erkennen und blockieren, die für die Ausnutzung dieser Sicherheitslücke notwendig sind.
Schließlich sollten Sie auf die OpenSSH-Patches achten. Sie werden bald veröffentlicht. Sobald sie verfügbar sind, sollten Sie die Patches so schnell wie möglich installieren.
Sie können Ihr Risiko bezüglich der RegreSSHion-Sicherheitslücke erheblich verringern, indem Sie diese Maßnahmen umsetzen - und Sie werden es nicht bereuen.