Проект OpenSSH сегодня сообщил о проблеме на стороне клиента, затрагивающей версии 5.4 - 7.1 OpenSSH. Эта проблема может привести к утечке ключевой информации клиенту SSH, потенциально подвергая пользователей атакам типа «человек посередине».
Что это значит?
Обмен ключами инициируется, когда клиент SSH подключается к серверу. Новая функция «роуминга», включенная в клиент OpenSSH, может быть использована, и злонамеренный сервер может использовать эту проблему для утечки клиентской памяти на сервер, включая личные пользовательские ключи клиента.
На кого это влияет?
Эта проблема затрагивает клиента OpenSSH (не сервера) в большинстве современных операционных систем, включая Linux, FreeBSD и Mac OSX. Эта проблема может также затрагивать пользователей, использующих OpenSSH для Windows, но не затрагивает пользователей, использующих PuTTY в Windows.
Это означает, что вам не нужно обновлять OpenSSH на вашей Droplet (на стороне сервера), но вы должны обновить клиент OpenSSH на своем локальном компьютере. Если вы хотите охватить все свои базы, вы можете сгенерировать новые пары ключей и загрузить новые открытые ключи на свои серверы (подробности см. В последнем разделе).
Как решить проблему
Во время развертывания исправлений и обновлений для уязвимых дистрибутивов функцию, вызывающую эту проблему безопасности, можно отключить вручную, чтобы решить эту проблему. В вариантах OS X, Linux и BSD это можно сделать, добавив строку в конфигурацию SSH.
В Linux и FreeBSD
Выполните следующую команду, чтобы добавить новую строку в вашу конфигурацию:
echo 'UseRoaming no' | sudo tee -a /etc/ssh/ssh_configНа Mac OSX
Выполните следующую команду, чтобы добавить новую строку в вашу конфигурацию:
echo "UseRoaming no" >> ~/.ssh/configЗакрытие и открытие сессий
Сделав это, вы должны закрыть все открытые сессии SSH, чтобы изменения вступили в силу.
Для безопасности: восстановить все ваши ключевые пары
Если вы думаете, что кто-то получил доступ к вашим закрытым ключам с помощью этой уязвимости, или если вы хотите охватить свои базы «на всякий случай», вам следует сгенерировать все свои пары ключей и загрузить новые открытые ключи на свои серверы.
Учить больше
OpenSSH: ошибка клиента CVE-0216-0777 и CVE-0216-0778 + http://www.ubuntu.com/usn/usn-2869-1 / [Ubuntu - USN-2869-1: уязвимости OpenSSH]