تم التعرف على ثغرة RCE كجذر غير مصادق عليها في خادم OpenSSH (sshd) من قبل باحثين من Qualys، وتم تعيينها بـ CVE-2024-6387 وأطلق عليها اسم regreSSHion. الثغرة الأمنية هي حالة سباق لمعالج الإشارة ومن المعروف أنها قابلة للاستغلال في التكوين الافتراضي لـ OpenSSH في نطاقات إصدارات محددة تعمل على توزيعات Linux المستندة إلى glibc 32 بت.
تم اكتشاف ثغرة أمنية في حالة سباق معالج الإشارة في خادم OpenSSH (sshd) مما يؤثر على تكوينه الافتراضي. إذا فشل عميل SSH في المصادقة داخل ملف LoginGraceTime فترة (120 ثانية افتراضيًا)، ثم يتم استدعاء معالج SIGALRM (إنذار الإشارة) بشكل غير متزامن، ولكن بعض الوظائف التي يستدعيها ليست آمنة للإشارة غير المتزامنة، بما في ذلك syslog(). في توزيعات Linux المستندة إلى glibc، في ظل ظروف معينة syslog() يستدعي وظائف غير آمنة للإشارة malloc() و free() . إذا تمت مقاطعة استدعاء أي منهما بواسطة تعليمات برمجية تستدعي أيضًا وظيفة مرتبطة بالكومة، فقد يؤدي ذلك إلى تلف الكومة، والذي يمكن إساءة استخدامه عن طريق ترتيب الكومة بطريقة تؤدي إلى تنفيذ تعليمات برمجية عشوائية، مع تشغيل امتيازات جذر sshd.
قام الباحثون الذين اكتشفوا هذه الثغرة الأمنية بتحليل السبب الجذري وحددوا أنها تراجع لثغرة أمنية سابقة (CVE-2006-5051)، مما يعني أن الثغرة الأمنية الأصلية قد أعيد تقديمها عن طريق الخطأ بسبب تغييرات أخرى في التعليمات البرمجية.
واستنادًا إلى ما هو معروف حاليًا عن هذه الثغرة الأمنية، تقدر شركة Wiz Research أن استغلالها على نطاق واسع أمر غير مرجح. منطقنا هو أن عمليات الاستغلال المعروفة حاليًا تعتمد على الشروط الخاصة بالتوزيع (ASLR على سبيل المثال) وتخطيطات البنية الخاصة بإصدار glibc، مما يعني أنه يجب على المهاجم أن يعرف مسبقًا توزيع Linux الذي يستهدفه من أجل بناء استغلال وظيفي. وهذا الشرط يجعل الثغرة الأمنية غير مناسبة للاستغلال الانتهازي على نطاق واسع.
علاوة على ذلك، عادةً ما يستغرق الاستغلال الناجح عدة ساعات من محاولات تسجيل الدخول إجمالاً. إذا حاول مهاجم بشكل مستمر استغلال الثغرة الأمنية بنجاح في أسرع وقت ممكن، فسيكون السلوك المعروض مشابهًا لمحاولة القوة الغاشمة لكلمة المرور، مما يعني أن أي تدابير حالية لمنع القوة الغاشمة واكتشافها من شأنها تخفيفها بشكل فعال، مما يجعل معدل نجاح هذه التقنية منخفضًا جدًا في البيئات المحمية جيدًا.
ومع ذلك، لا يلزم أن تكون عملية الاستغلال مستمرة – نظرًا لأن احتمال النجاح هو نفسه لكل محاولة، فمن الناحية النظرية يمكن للمهاجم استهداف جهاز أو مجموعة من الأجهزة على مدار عدة أسابيع، والتبديل بين عناوين IP متعددة بين محاولات الاستغلال، باستخدام استراتيجية مشابهة لرش كلمة المرور. ومن شأن هذه التقنية أن تجعل الكشف أكثر صعوبة، وبالتالي قد يتم اعتمادها من قبل جهات فاعلة صبورة ومتطورة مع وضع منظمات مستهدفة محددة في الاعتبار.
تتأثر الإصدارات التالية من OpenSSH بهذه الثغرة الأمنية:
يمكن استغلال الثغرة الأمنية في توزيعات Linux المستندة إلى glibc (على سبيل المثال، المستندة إلى Debian).
نشرت بعض توزيعات Linux تحذيرات توضح أن بعض إصداراتها لا تتأثر بهذه الثغرة الأمنية. معظم هذه الإصدارات قديمة ولم تحصل مطلقًا على الإصدارات الضعيفة من OpenSSH كإصدارات حزم رسمية.
اعتبارًا من 3 يوليو، لن تتأثر إصدارات التوزيعة التالية:
-
دبيان – جميع الإصدارات حتى Debian 11.x (Bullseye)
-
RedHat (بما في ذلك Rocky وAlma وOracle) – لا تتأثر جميع الإصدارات حتى Red Hat Enterprise Linux 8 وتتضمنها.
-
أوبونتو – جميع الإصدارات حتى 20.04
ومع ذلك، تتوفر التصحيحات للإصدارات التالية:
-
22.04 (جامي) – نسخة ثابتة:
1:8.9p1-3ubuntu0.10 -
23.10 (مانتيك) – نسخة ثابتة:
1:9.3p1-1ubuntu3.6 -
24.04 (نوبل) – نسخة ثابتة:
1:9.6p1-3ubuntu13.3
وفقًا لبيانات Wiz، تحتوي 81% من البيئات السحابية على مثيل واحد على الأقل من OpenSSH في نطاق الإصدارات الضعيفة.
اعتبارًا من 1 يوليو 2024، لم يتم تحديد أي استغلال لهذه الثغرة الأمنية. تم إثبات إمكانية استغلال الثغرة الأمنية فقط في ظل ظروف معملية على أنظمة Linux/glibc 32 بت (مع ASLR). لم يتم إثبات الاستغلال على أنظمة 64 بت ولكن يُعتقد أنه ممكن.
تم نشر دليل أساسي للمفهوم على جيثب. نظرًا لمتطلبات الوقت الطويلة للاستغلال، لم نتمكن بعد من التحقق من فعالية هذا الرمز، لكن تحليلنا يشير إلى أن هذا استغلال مشروع للثغرة الأمنية كما وصفها باحثو Qualys.
يجب على المؤسسات المتأثرة الترقية إلى أحدث إصدار من OpenSSH، مع إعطاء الأولوية للمثيلات المكشوفة بشكل عام. يوصى أيضًا بتقييد الوصول إلى SSH وعدم تعريض خوادم OpenSSH للإنترنت.
يمكن لعملاء Wiz استخدام الاستعلام والاستشارات المعدة مسبقًا في Wiz Threat Center للبحث عن الحالات الضعيفة في بيئتهم، أو Wiz Sensor لاكتشاف محاولات الاستغلال.
