Wie prüfe ich, welche Server eine von einer neuen CVE betroffene OpenSSH-Version nutzen?

Beginnen Sie mit der Version, die jeder Server ankündigt, und bestätigen Sie sie dann am Patch-Stand des Herstellers, denn die Ankündigung allein kann täuschen. Jeder SSH-Server sendet vor allem anderen eine Kennung wie SSH-2.0-OpenSSH_9.6p1, die ein Scanner oder eine einfache Verbindung anzeigt. Vergleichen Sie diese Version mit dem Bereich in der Sicherheitsmeldung. Für regreSSHion (CVE-2024-6387) nannte etwa die von Qualys am 1. Juli 2024 veröffentlichte Meldung OpenSSH ab 8.5p1 bis ausschließlich 9.8p1 auf glibc-basiertem Linux. Prüfen Sie dann die Paketversion auf jedem Server: Linux-Distributionen portieren Sicherheitskorrekturen oft in eine ältere Versionsnummer zurück; ein Server, der eine betroffene Version ankündigt, kann also schon gepatcht sein, und maßgeblich ist der Security-Tracker der Distribution. Patchen Sie über den Paketmanager, starten Sie den Dienst neu und prüfen Sie erneut. Führen Sie eine Liste der SSH-Server in Ihrem Inventar, damit die nächste Meldung Minuten statt Tage kostet.

← Alle 40 Fragen zu Verschlüsselung und verschlüsselter VerkehrAlle Themen