search

osm-fr / infrastructure

Handle tickets against osm-fr infrastructure
MIT License
22 stars 4 forks source link

Vulnérabilité critique CVE-2024-6387 openssh #573

Closed flacombe closed 2 months ago

flacombe commented 3 months ago

Bonsoir

Le bulletin suivant a été émis aujourd'hui : https://www.cert.ssi.gouv.fr/alerte/CERTFR-2024-ALE-009/

Cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire à distance avec les privilèges root.

Les versions 8.5p1 à 9.7p1 d'OpenSSH sont vulnérables, de manière confirmée, sur des systèmes Linux 32 bits avec la glibc et l'ASLR activé. Toutefois, il est précisé que l'exploitation nécessite entre six et huit heures de connexions continues. De plus, il spécule que ces attaques pourraient être optimisées pour être plus rapides, à plus forte raison lorsque l'ASLR est désactivé.

L'éditeur ajoute que l'exploitation sur des systèmes 64 bits ou sans glibc semble possible mais n'a pas été démontrée.

Sans révéler ici si nos serveurs sont vulnérables ou non, il est recommandé de faire les mises à jour de rigueur puis de fermer cette issue quand le tour aura été fait.

cquest commented 3 months ago

Comme on ne doit avoir aucun système en 32 bits, ça limite le danger.

Mises à jour en cours...

jocelynj commented 2 months ago

C’est corrigé, après mises à jour par @cquest et moi-même sur les différentes machines.

Merci d’avoir ouvert le ticket.