Une bannière de version SSH prouve-t-elle qu'un serveur est vulnérable ?

Non. C'est un indice fort, pas une preuve, dans les deux sens. La bannière est le texte qu'un serveur annonce sur son logiciel, par exemple OpenSSH_8.9p1 Ubuntu-3ubuntu0.10. Les distributions Linux corrigent souvent les failles en modifiant l'ancienne version plutôt qu'en passant à la nouvelle version amont : un serveur peut donc annoncer une version listée comme vulnérable et être pourtant sûr, ce que disent le suffixe du paquet de la distribution et son suivi de sécurité. La bannière peut aussi être modifiée ou masquée par un administrateur, et certaines appliances annoncent des chaînes trompeuses. À l'inverse, un numéro de version récent n'exclut pas des problèmes de configuration, comme des connexions par mot de passe ouvertes sur internet ou des clés d'hôte faibles. Utilisez la bannière pour classer les serveurs entre ceux à vérifier en premier et ceux qui sont probablement en ordre, puis confirmez sur l'hôte avec le gestionnaire de paquets ou un scan de vulnérabilités authentifié. Ne signalez jamais à la direction un serveur comme compromis ou vulnérable sur la seule foi de sa bannière.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes