CVE-2024-6387对OpenSSH的漏洞解决方案与防护措施

type

status

date

slug

summary

安装依赖

yum -y install gcc gcc-c++ autoconf automake zlib zlib-devel openssl openssl-devel pcre pcre-devel

cd /opt/oneopenssh

下载并解压 OpenSSH 包

tar zxvfp openssh-9.8p1.tar.gz cd openssh-9.8p1

配置、编译并安装 OpenSSH

./configure --prefix=/usr/local/openssh --with-zlib=/usr/local/zlib --with-ssl-dir=/usr make && make install

配置 SSH

echo 'PermitRootLogin yes' >>/usr/local/openssh/etc/sshd_config echo 'PubkeyAuthentication yes' >>/usr/local/openssh/etc/sshd_config echo 'PasswordAuthentication yes' >>/usr/local/openssh/etc/sshd_config

备份并替换系统默认的 SSH 配置和二进制文件

mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak cp /usr/local/openssh/etc/sshd_config /etc/ssh/sshd_config mv /usr/sbin/sshd /usr/sbin/sshd.bak cp /usr/local/openssh/sbin/sshd /usr/sbin/sshd mv /usr/bin/ssh /usr/bin/ssh.bak cp /usr/local/openssh/bin/ssh /usr/bin/ssh mv /usr/bin/ssh-keygen /usr/bin/ssh-keygen.bak cp /usr/local/openssh/bin/ssh-keygen /usr/bin/ssh-keygen mv /etc/ssh/ssh_host_ecdsa_key.pub /etc/ssh/ssh_host_ecdsa_key.pub.bak cp /usr/local/openssh/etc/ssh_host_ecdsa_key.pub /etc/ssh/ssh_host_ecdsa_key.pub

修改 systemd 配置并重启 SSH 服务

sed -i "s/Type\=notify/Type\=simple/g" /usr/lib/systemd/system/sshd.service systemctl daemon-reload && systemctl restart sshd

验证是否升级成功

ssh -V

如果无法立即升级，您可以通过在 OpenSSH 配置文件中将 LoginGraceTime 参数设置为 0 来降低风险。这样可以防止未经身份验证的会话保持打开状态并被利用。但是，如果所有连接插槽都被占用，此设置可能会导致拒绝服务。

检查是否具有root权限

if [ "$(id -u)" -ne 0 ]; then echo "此脚本需要root权限，请使用sudo或以root用户运行。" exit 1 fi

配置文件路径

SSHD_CONFIG="/etc/ssh/sshd_config"

备份当前配置文件

cp "$SSHD_CONFIG" "${SSHD_CONFIG}.bak"

更新LoginGraceTime参数

if grep -q "^LoginGraceTime" "$SSHD_CONFIG"; then sed -i "s/^LoginGraceTime.*/LoginGraceTime 0/" "$SSHD_CONFIG" else echo "LoginGraceTime 0" >> "$SSHD_CONFIG" fi

重启SSH服务

systemctl restart sshd

验证是否成功

if systemctl status sshd | grep -q "active (running)"; then echo "SSH服务已成功重启，并且LoginGraceTime参数已设置为0。" else echo "SSH服务重启失败，请检查配置文件和服务状态。" fi

添加额外的安全层，可以进一步减轻风险。seccomp限制了sshd进程可以执行的系统调用，从而限制了攻击面并减少了利用不安全函数（如syslog()）的可能性。实现seccomp确保即使触发了漏洞，攻击者执行任意代码的能力也会显著受限。通过遵循这些缓解策略，您可以保护系统免受此漏洞的影响，并增强OpenSSH配置的整体安全性。

结论 CVE-2024-6387（又名 RegreSSHion）是基于 glibc 的 Linux 系统上 OpenSSH 服务器（sshd）中的信号处理程序争用条件漏洞。此漏洞的严重等级为“高”（CVSS 8.1），并可能导致具有 root 权限的未经身份验证的远程代码执行（RCE）。

Reference：

[1]CVE-2024-6387: https://nvd.nist.gov/vuln/detail/CVE-2024-6387