漏洞修复！ ​

腾讯云安全运营中心监测到，OpenSSH 官方发布安全更新，修复了其 OpenSSH 存在的远程代码执行漏洞，漏洞编号 CVE-2024-6387。此漏洞可能导致未经身份验证的远程攻击者执行任意代码等危害。

为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如果您在受影响范围内，请及时进行更新修复，避免被外部攻击者入侵。

漏洞详情 ​

OpenSSH 是 Secure Shell（SSH）协议的免费实现，主要用于安全地远程登录和执行命令，提供了加密的通信通道，以防止敏感信息在网络上被窃听或篡改。

据官方描述，在 OpenSSH 服务器中的信号处理程序中存在条件竞争漏洞，未经身份验证的远程攻击者可利用该漏洞在基于 glibc 的 Linux 系统上以 root 身份执行任意代码。

目前该漏洞的漏洞细节已公开。

风险等级 ​

高风险

漏洞风险 ​

未经身份验证的远程攻击者利用该漏洞可执行任意代码等危害。

影响版本 ​

• OpenSSH < 4.4p1（未更新历史漏洞 CVE-2006-5051、CVE-2008-4109 的补丁）
• 8.5p1 <= OpenSSH < 9.8p1
• CentOS 9（暂未发布补丁）
• Ubuntu 22.04、24.04
• Debian 12
• TencentOS Server 4

安全版本 ​

• 4.4p1 <= OpenSSH < 8.5p1
• OpenSSH >= 9.8p1
• CentOS 6、7、8

修复建议 ​

1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，建议升级至最新版本 9.8p1，具体修复步骤如下：

适用于 Debian（Debian、Ubuntu、Mint...）上安装 OpenSSH 9.8p1 版本： ​

方案 1：源码修复 ​

sudo apt-get update
sudo apt-get install build-essential zlib1g-dev libssl-dev libpam0g-dev libselinux1-dev
wget https://github.com/openssh/openssh-portable/archive/refs/tags/V_9_8_P1.tar.gz
tar -xzf V_9_8_P1.tar.gz
cd openssh-portable-V_9_8_P1
./configure
make
sudo make install
sudo mv /usr/sbin/sshd /usr/sbin/sshd.bak
sudo ln -s /usr/local/sbin/sshd /usr/sbin/sshd
sudo systemctl restart sshd

方案 2：软件包修复 ​

sudo apt-get update
sudo apt-get install openssh-client

修复确认 ​

sshd -V 或 dpkg-query -W|grep openssh

验证版本属于如下版本则无安全风险：

• Ubuntu22.04 LTS：1:8.9p1-3ubuntu0.10
• Ubuntu24.04 LTS：1:9.6p1-3ubuntu13.3
• Debian 12: 1:9.2p1-2+deb12u2

适用于 TencentOS Server 4 上安装 OpenSSH 的更新包： ​

aarch64： ​

• pam_ssh_agent_auth-debuginfo-0.10.4-12.tl4.aarch64.rpm
• openssh-debuginfo-9.3p2-12.tl4.aarch64.rpm
• pam_ssh_agent_auth-0.10.4-12.tl4.aarch64.rpm
• openssh-askpass-debuginfo-9.3p2-12.tl4.aarch64.rpm
• openssh-clients-debuginfo-9.3p2-12.tl4.aarch64.rpm
• openssh-debugsource-9.3p2-12.tl4.aarch64.rpm
• openssh-askpass-9.3p2-12.tl4.aarch64.rpm
• openssh-server-debuginfo-9.3p2-12.tl4.aarch64.rpm
• openssh-clients-9.3p2-12.tl4.aarch64.rpm
• openssh-9.3p2-12.tl4.aarch64.rpm
• openssh-server-9.3p2-12.tl4.aarch64.rpm

x86_64： ​

• openssh-clients-debuginfo-9.3p2-12.tl4.x86_64.rpm
• openssh-askpass-debuginfo-9.3p2-12.tl4.x86_64.rpm
• openssh-9.3p2-12.tl4.x86_64.rpm
• pam_ssh_agent_auth-0.10.4-12.tl4.x86_64.rpm
• openssh-clients-9.3p2-12.tl4.x86_64.rpm
• openssh-askpass-9.3p2-12.tl4.x86_64.rpm
• openssh-server-debuginfo-9.3p2-12.tl4.x86_64.rpm
• pam_ssh_agent_auth-debuginfo-0.10.4-12.tl4.x86_64.rpm
• openssh-debugsource-9.3p2-12.tl4.x86_64.rpm
• openssh-server-9.3p2-12.tl4.x86_64.rpm
• openssh-debuginfo-9.3p2-12.tl4.x86_64.rpm

src： ​

• openssh-9.3p2-12.tl4.src.rpm

缓解措施 ​

如果 sshd 无法更新或重新编译，可通过设置配置文件中的 LoginGraceTime 为 0 进行缓解，但是该方案会耗尽所有的 MaxStartups 连接，从而使 sshd 容易遭受拒绝服务攻击。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

漏洞参考 ​

• Qualys Blog
• Qualys CVE-2024-6387