Los mantenedores de OpenSSH han publicado actualizaciones de seguridad para contener un fallo de seguridad crítico que podría dar lugar a la ejecución remota de código no autenticado con privilegios de root en sistemas Linux basados en glibc.
A la vulnerabilidad, cuyo nombre en clave es regreSSHion, se le ha asignado el identificador CVE-2024-6387. Reside en el componente servidor de OpenSSH, también conocido como sshd, que está diseñado para escuchar conexiones desde cualquiera de las aplicaciones cliente.
"La vulnerabilidad, que es una condición de carrera del manejador de señales en el servidor de OpenSSH (sshd), permite la ejecución remota de código (RCE) no autenticada como root en sistemas Linux basados en glibc", dijo Bharat Jogi, director senior de la unidad de investigación de amenazas de Qualys, en una divulgación publicada hoy. "Esta condición de carrera afecta a sshd en su configuración por defecto".
La empresa de ciberseguridad dijo que identificó no menos de 14 millones de instancias de servidor OpenSSH potencialmente vulnerables expuestas a Internet, añadiendo que se trata de una regresión de un fallo ya parcheado de hace 18 años rastreado como CVE-2006-5051, con el problema reinstaurado en octubre de 2020 como parte de la versión 8.5p1 de OpenSSH.
"Se ha demostrado una explotación exitosa en sistemas Linux/glibc de 32 bits con [aleatorización de la disposición del espacio de direcciones]", dijo OpenSSH en un aviso. "En condiciones de laboratorio, el ataque requiere una media de 6-8 horas de conexiones continuas hasta el máximo que acepta el servidor".
La vulnerabilidad afecta a las versiones comprendidas entre 8.5p1 y 9.7p1. Las versiones anteriores a la 4.4p1 también son vulnerables al fallo de race condition a menos que se parcheen para CVE-2006-5051 y CVE-2008-4109. Cabe señalar que los sistemas OpenBSD no están afectados, ya que incluyen un mecanismo de seguridad que bloquea el fallo.
Es probable que el fallo de seguridad afecte también a macOS y Windows, aunque su explotabilidad en estas plataformas sigue sin confirmarse y requiere más análisis.
En concreto, Qualys descubrió que si un cliente no se autentica en 120 segundos (un parámetro definido por LoginGraceTime), entonces el controlador SIGALRM de sshd se llama de forma asíncrona de una manera que no es async-signal-safe.
El efecto neto de explotar CVE-2024-6387 es un compromiso total del sistema y la toma de posesión, lo que permite a los actores de amenazas ejecutar código arbitrario con los privilegios más altos, subvertir los mecanismos de seguridad, el robo de datos, e incluso mantener el acceso persistente.
"Un fallo, una vez corregido, ha reaparecido en una versión posterior del software, normalmente debido a cambios o actualizaciones que inadvertidamente reintroducen el problema", dijo Jogi. "Este incidente pone de relieve el papel crucial de las pruebas de regresión exhaustivas para evitar la reintroducción de vulnerabilidades conocidas en el entorno".
Aunque la vulnerabilidad tiene importantes obstáculos debido a su naturaleza de condición de carrera remota, se recomienda a los usuarios que apliquen los últimos parches para protegerse contra posibles amenazas. También se aconseja limitar el acceso SSH a través de controles basados en red y aplicar la segmentación de red para restringir el acceso no autorizado y el movimiento lateral.
Fuente: thehackernews