Le projet OpenSSH a annoncé aujourd’hui un problème côté client affectant les versions 5.4 à 7.1 d’OpenSSH. Ce problème pourrait permettre à un client SSH de divulguer des informations clés, exposant potentiellement les utilisateurs à des attaques de type "man-in-the-middle".
Qu’est-ce que ça veut dire?
Un échange de clé est lancé lorsqu’un client SSH se connecte à un serveur. Une nouvelle fonctionnalité «d’itinérance» incluse dans le client OpenSSH peut être exploitée et un serveur malveillant pourrait utiliser ce problème pour laisser fuir la mémoire du client vers le serveur, y compris les clés utilisateur du client privé.
Qui est affecté?
Ce problème concerne le client OpenSSH (pas le serveur) sur la plupart des systèmes d’exploitation modernes, notamment Linux, FreeBSD et Mac OSX. Ce problème peut également toucher les utilisateurs d’OpenSSH pour Windows, mais pas les utilisateurs de PuTTY sous Windows.
Cela signifie que vous ne devez pas mettre à jour OpenSSH sur votre Droplet (côté serveur), mais vous devez mettre à jour le client OpenSSH sur votre ordinateur local. Si vous souhaitez couvrir toutes vos bases, vous pouvez générer de nouvelles paires de clés et télécharger les nouvelles clés publiques sur vos serveurs (voir l’avant-dernière section pour plus de détails).
Comment résoudre le problème
Lors du déploiement des correctifs et des mises à jour pour les distributions concernées, la fonctionnalité à l’origine de ce problème de sécurité peut être désactivée manuellement afin de le résoudre. Sur OS X, Linux et les variantes BSD, cela peut être fait en ajoutant une ligne à votre configuration SSH.
Sous Linux et FreeBSD
Exécutez la commande suivante pour ajouter la nouvelle ligne à votre configuration:
echo 'UseRoaming no' | sudo tee -a /etc/ssh/ssh_configSur Mac OSX
Exécutez la commande suivante pour ajouter la nouvelle ligne à votre configuration:
echo "UseRoaming no" >> ~/.ssh/configSéances de clôture et de réouverture
Une fois cette opération effectuée, vous devez fermer toutes les sessions SSH ouvertes afin que le changement soit effectif.
Pour les personnes soucieuses de la sécurité: régénérez toutes vos paires de clés
Si vous pensez que quelqu’un a obtenu l’accès à vos clés privées avec cette vulnérabilité, ou si vous souhaitez couvrir vos bases «au cas où», vous devriez régénérer toutes vos paires de clés et télécharger les nouvelles clés publiques sur vos serveurs.
Apprendre encore plus
OpenSSH: bogue client CVE-0216-0777 et CVE-0216-0778 + http://www.ubuntu.com/usn/usn-2869-1 / [Ubuntu - USN-2869-1: Vulnérabilités OpenSSH]