| 您當(dāng)前位置：保定理工學(xué)院 >> 信息技術(shù)中心 >> 網(wǎng)絡(luò)安全 >> 瀏覽文章 |
|
OpenSSH服務(wù)器未授權(quán)遠(yuǎn)程代碼執(zhí)行漏洞風(fēng)險(xiǎn)提示(CVE-2023-25136) 【網(wǎng)絡(luò)安全】 加入時(shí)間：2023年02月20日 信息來源：本站原創(chuàng) 作者：admin 訪問量： |
一、漏洞通告 近日，監(jiān)測到OpenSSH官方發(fā)布了安全更新，修復(fù)了OpenSSH中的未授權(quán)遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2023-25136)，CVSS評(píng)分9.8。在默認(rèn)配置中，未經(jīng)身份驗(yàn)證的攻擊者可以觸發(fā)雙重釋放，從而在遠(yuǎn)程服務(wù)器上執(zhí)行任意代碼。此漏洞影響范圍廣泛，目前官方發(fā)布安全版本，建議受影響的用戶盡快采取安全措施。 相關(guān)鏈接參考： https://github.com/openssh/openssh-portable/commit/12da7823336434a403f25c7cc0c2c6aed0737a35 二、影響范圍 受影響版本： OpenSSH server=9.1 不受影響版本： OpenSSH server>=9.2 三、漏洞描述 OpenSSH是一種用于安全通信和遠(yuǎn)程訪問的流行工具。它是作為 Secure Shell (SSH) 通信協(xié)議的免費(fèi)開源實(shí)現(xiàn)而開發(fā)的，廣泛用于各種應(yīng)用程序。 OpenSSH未授權(quán)遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2023-25136)：OpenSSH服務(wù)在針對(duì)putty老版本等客戶端連接時(shí)做了兼容處理，導(dǎo)致compat_kex_proposal函數(shù)在options.kex_algorithms處理時(shí)存在雙重釋放漏洞。未經(jīng)身份驗(yàn)證的攻擊者可以觸發(fā)雙重釋放，從而在遠(yuǎn)程服務(wù)器上執(zhí)行任意代碼。 四、影響范圍 高危：目前漏洞細(xì)節(jié)和測試代碼已公開，建議受影響用戶及時(shí)升級(jí)到安全版本。官方建議： 目前官方已發(fā)布安全版本修復(fù)上述漏洞，建議受影響的用戶升級(jí)至安全版本。下載鏈接： https://ftp.openbsd.org/pub/OpenBSD/patches/7.2/common/017_sshd.patch.sig 來源：openSSH官網(wǎng) |