Das OpenSSH-Projekt meldete heute ein clientseitiges Problem, das OpenSSH-Versionen 5.4 - 7.1 betraf. Durch dieses Problem kann ein SSH-Client wichtige Informationen verlieren und Benutzer potenziell Man-in-the-Middle-Angriffen aussetzen.
Was bedeutet das?
Ein Schlüsselaustausch wird initiiert, wenn ein SSH-Client eine Verbindung zu einem Server herstellt. Eine neue "Roaming" -Funktion, die im OpenSSH-Client enthalten ist, kann ausgenutzt werden, und ein böswilliger Server könnte dieses Problem nutzen, um Client-Speicher auf den Server zu übertragen, einschließlich privater Client-Benutzerschlüssel.
Wer ist betroffen?
Dieses Problem betrifft den OpenSSH-Client (nicht den Server) auf den meisten modernen Betriebssystemen, einschließlich Linux, FreeBSD und Mac OSX. Dieses Problem betrifft möglicherweise auch Benutzer, die OpenSSH für Windows ausführen, jedoch nicht Benutzer, die PuTTY unter Windows verwenden.
Das bedeutet, dass Sie OpenSSH nicht auf Ihrem Droplet (der Serverseite) aktualisieren müssen, sondern den OpenSSH-Client auf Ihrem lokalen Computer aktualisieren müssen. Wenn Sie alle Ihre Basen abdecken möchten, können Sie neue Schlüsselpaare generieren und die neuen öffentlichen Schlüssel auf Ihre Server hochladen (Einzelheiten finden Sie im vorletzten Abschnitt).
So beheben Sie das Problem
Während Patches und Updates für betroffene Distributionen bereitgestellt werden, kann die Funktion, die dieses Sicherheitsproblem verursacht, manuell deaktiviert werden, um das Problem zu beheben. Unter OS X, Linux und BSD können Sie dazu Ihrer SSH-Konfiguration eine Zeile hinzufügen.
Unter Linux und FreeBSD
Führen Sie den folgenden Befehl aus, um die neue Zeile Ihrer Konfiguration hinzuzufügen:
echo 'UseRoaming no' | sudo tee -a /etc/ssh/ssh_configUnter Mac OSX
Führen Sie den folgenden Befehl aus, um die neue Zeile Ihrer Konfiguration hinzuzufügen:
echo "UseRoaming no" >> ~/.ssh/configSitzungen schließen und erneut öffnen
Sobald Sie dies getan haben, sollten Sie alle offenen SSH-Sitzungen schließen, damit die Änderung wirksam wird.
Für Sicherheitsbewusste: Regenerieren Sie alle Ihre Schlüsselpaare
Wenn Sie der Meinung sind, dass jemand durch diese Sicherheitsanfälligkeit Zugriff auf Ihre privaten Schlüssel erlangt hat, oder wenn Sie Ihre Basis für alle Fälle schützen möchten, sollten Sie alle Schlüsselpaare neu generieren und die neuen öffentlichen Schlüssel auf Ihre Server hochladen.
Lern mehr
OpenSSH: Client-Fehler CVE-0216-0777 und CVE-0216-0778 + http://www.ubuntu.com/usn/usn-2869-1 / [Ubuntu - USN-2869-1: OpenSSH-Schwachstellen]