Jak sprawdzić, które serwery mają wersję OpenSSH podatną na nowy CVE?

Zacznij od wersji, którą ogłasza każdy serwer, a potem potwierdź ją ze stanem poprawek dostawcy, bo samo ogłoszenie może wprowadzać w błąd. Każdy serwer SSH wysyła na początku ciąg identyfikacyjny, na przykład SSH-2.0-OpenSSH_9.6p1, a pokaże go skaner lub zwykłe połączenie. Porównaj tę wersję z zakresem z biuletynu. W przypadku regreSSHion (CVE-2024-6387) biuletyn opublikowany przez Qualys 1 lipca 2024 r. wskazywał na przykład OpenSSH od 8.5p1 do 9.8p1, bez tej ostatniej, na Linuksie opartym na glibc. Następnie sprawdź wersję pakietu na każdym serwerze: dystrybucje Linuksa często przenoszą poprawki bezpieczeństwa do starszego numeru wersji, więc serwer ogłaszający wersję podatną może być już załatany, a rozstrzyga system śledzenia bezpieczeństwa dystrybucji. Aktualizuj przez menedżer pakietów, zrestartuj usługę i sprawdź ponownie. Trzymaj listę serwerów SSH w inwentarzu, żeby kolejny biuletyn zajął minuty, a nie dni.

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy