Comment savoir quels serveurs exécutent une version d'OpenSSH touchée par une nouvelle CVE ?

Commencez par la version que chaque serveur annonce, puis confirmez avec l'état des correctifs de l'éditeur, car l'annonce seule peut induire en erreur. Chaque serveur SSH envoie avant toute chose une chaîne d'identification comme SSH-2.0-OpenSSH_9.6p1, qu'un scanner ou une simple connexion affiche. Comparez cette version à la plage indiquée dans l'avis. Pour regreSSHion (CVE-2024-6387), par exemple, l'avis publié par Qualys le 1er juillet 2024 citait OpenSSH de 8.5p1 jusqu'à 9.8p1 exclue, sur Linux à base de glibc. Vérifiez ensuite la version du paquet sur chaque serveur : les distributions Linux reportent souvent les correctifs de sécurité dans un numéro de version plus ancien, si bien qu'un serveur annonçant une version touchée peut déjà être corrigé ; le suivi de sécurité de la distribution fait foi. Corrigez via le gestionnaire de paquets, redémarrez le service et vérifiez à nouveau. Tenez une liste des serveurs SSH dans votre inventaire, pour que le prochain avis prenne des minutes et non des jours.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes