CVE-2024-6387Open SSH漏洞彻底解决举措（含踩坑内容）

news2024/9/29 17:31:02

一、漏洞名称

OpenSSH 远程代码执行漏洞(CVE-2024-6387)

二、漏洞概述

Open SSH是基于SSH协议的安全网络通信工具，广泛应用于远程服务器管理、加密文件传输、端口转发、远程控制等多个领域。近日被爆出存在一个远程代码执行漏洞，由于Open SSH服务器端程序存在竞争条件缺陷，未经身份验证的攻击者可利用该漏洞在Linux系统上以root身份远程执行代码，可全面接管系统、安装恶意软件、篡改、删除或窃取系统数据，创建后门等。受影响版本为8.5p1<=version<9.8p1。目前Open SSH官方已发布新版本完成漏洞修复。（更新链接：https://www.openssh.com/releasenotes.html）

三、缓解措施

自行百度，关闭ssh、 允许特定用户访问等

四、修复建议

建议升级OpenSSH至安全版本，彻底解决。

各位老板不要着急、这里有坑，假如服务器Openssh>=1.1.1那么恭喜直接升级Openssh即可。

由于本人服务器版本是OpenSSL 1.0.2k-fips在升级过程中卸载、重装服务经过多次尝试最终等已解决。

踩坑一：

OpenSSL 1.0.2k-fips版本，升级条件Openssh需大于1.1.1，否则升级提示Open SSH版本低

踩坑二：

升级OpenSSL 成功后，openssl verison与 ssh -V 结果下的openssl版本不一致问题，导致升级OpenssH也已失败告终。至此请看正文解决办法，一路到底升级成功。

4.1、查看服务器OpenSSL版本配置
openssl version
[root@localhost ~]# openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017
4.2、查看升级服务器OpenSSL版本

ssh -V

[root@localhost ~]# ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017
4.3、查看服务器版本
[root@localhost ~]# uname -a
Linux localhost.localdomain 3.10.0-1160.el7.x86_64 #1 SMP Mon Oct 19 16:18:59 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux

给大家看下云服务器版本基于CentOS 7.6版本升级 

4.4、最终目标

先试试先版本，由于升级成功了下次在升级至OpenSSH 9.8p1

OpenSSH 7.4p1 -> OpenSSH 9.3p1

OpenSSL 1.0.2k-fips -> OpenSSL 3.1.2
4.4、版本直通车链接
OpenSSL官网地址：https://www.openssl.org/

OpenSSH官网地址：https://www.openssh.com/
4.5、小心驶得万年船

telnet安装以防万一具体安装请看上一篇文章、由于本人已尝试升级顺利暂未发现升级失败现象，各位看官可大胆尝试。无误后升级生产环境

4.6、自我安慰一下

数据备份一下，虽然升级成功了，没有导致服务器链接不上的可能。

mv /usr/bin/openssl /usr/bin/openssl.old
mv /etc/ssh /etc/ssh.old
mkdir /usr/bin/bak
cp -arpf /usr/bin/{cp,sftp,ssh,ssh-add,ssh-agent,ssh-keygen,ssh-keyscan} /usr/bin/bak/
cp -arpf /usr/sbin/sshd /usr/sbin/sshd.bak
cp -arpf /etc/sysconfig/sshd /etc/sysconfig/sshd.bak
cp -arpf /etc/pam.d/sshd /etc/pam.d/sshd.bak

五、奏是个干升级openssl

5.1、下载OpenSSL、OpenSSH、zlib
创建download文件夹（根据自己喜好）
wget https://www.openssl.org/source/openssl-3.1.2.tar.gz --no-check-certificate
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.3p1.tar.gz
wget http://www.zlib.net/zlib-1.3.1.tar.gz

  [root@yfvyy5b2on3knb8q ~]# cd download/

[root@yfvyy5b2on3knb8q download]# ll -a
total 18528
drwxr-xr-x   5 root root      4096 Jul  9 18:24 .
dr-xr-x---.  5 root root      4096 Jul 10 08:06 ..
drwxr-xr-x   7 1000  1000    20480 Jul  9 18:41 openssh-9.3p1
-rw-r--r--   1 root root   1856839 Mar 16  2023 openssh-9.3p1.tar.gz
drwxrwxr-x  24 root root      4096 Jul  9 18:33 openssl-3.1.2
-rw-r--r--   1 root root  15560427 Jan 22 19:24 openssl-3.1.2.tar.gz
drwxr-xr-x  14  501 games     4096 Jul  9 18:25 zlib-1.3.1
-rw-r--r--   1 root root   1512791 Jan 23 03:53 zlib-1.3.1.tar.gz
5.2、解压
tar xvf openssh-9.3p1.tar.gz
tar xvf openssl-3.1.2.tar.gz
tar xvf zlib-1.3.1.tar.gz
5.3、安装依赖
yum install gcc
yum install gcc-c++ 
yum install perl 
yum install perl-IPC-Cmd
yum install pam 
yum install pam-devel
5.4 、安装升级zlib
cd zlib-1.3.1
./configure --prefix=/usr/local/zlib-1.3.1 
make  && make install
5.5、安装升级openssl
cd openssl-3.1.2
./config --prefix=/usr/local/openssl-3.1.2 make && make install 
echo '/usr/local/openssl-3.1.2/lib64' >> /etc/ld.so.conf 
ln -s /usr/local/openssl-3.1.2/bin/openssl /usr/bin/openssl
ln -s /usr/local/openssl-3.1.2/include/openssl /usr/include/openssl 
ll -s /usr/bin/openssl 
ll -s /usr/include/openssl
ln -s /usr/local/openssl-3.1.2/lib64/libssl.so.3 /usr/lib64/libssl.so.3
ln -s /usr/local/openssl-3.1.2/lib64/libcrypto.so.3 /usr/lib64/libcrypto.so.3
ldconfig -v

5.6、查看版本

openssl version
[root@yfvyy5b2on3knb8q download]# openssl version
OpenSSL 3.1.2 1 Aug 2023 (Library: OpenSSL 3.1.2 1 Aug 2023)

六、升级openssh

cd openssh-9.3p1
 6.1、编译、验证测试环境
./configure --prefix=/usr/local/openssh-9.3p1 --sysconfdir=/etc/ssh --with-pam --with-ssl-dir=/usr/local/openssl-3.1.2 --with-zlib=/usr/local/zlib-1.3.1 --without-hardening
make && make install
 6.2、安装
make && make install
 6.3、数据备份
cp -arpf /usr/local/openssh-9.3p1/bin/scp /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/sftp /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-add /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-agent /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-keygen /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-keyscan /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/sbin/sshd /usr/sbin/sshd
cp -a contrib/redhat/sshd.init /etc/init.d/sshd
cp -a contrib/redhat/sshd.pam /etc/pam.d/sshd.pam
chmod +x /etc/init.d/sshd
mv /usr/lib/systemd/system/sshd.service /usr/lib/systemd/system/sshd.service.bak

 

  1. ./configure --prefix=/usr/local/openssh-9.3p1 --sysconfdir=/etc/ssh --with-pam --with-ssl-dir=/usr/local/openssl-3.1.2 --with-zlib=/usr/local/zlib-1.3.1 --without-hardening

    • ./configure 脚本是大多数开源软件项目（特别是使用GNU Autotools构建的项目）提供的配置脚本，用于准备软件的编译环境。它会检查系统环境，确定哪些功能可以被支持，并根据用户提供的选项（通过命令行参数）来定制编译过程。

    • --prefix=/usr/local/openssh-9.3p1 指定了软件安装后的根目录。在这个例子中，所有的安装文件（可执行文件、库文件、配置文件等）都会被安装在/usr/local/openssh-9.3p1目录下。这有助于将不同版本的软件安装到不同的目录，以避免冲突。

    • --sysconfdir=/etc/ssh 指定了配置文件（如sshd_config）的存放目录。即使软件的主体安装在--prefix指定的目录下，配置文件仍可以存放在系统的标准配置目录中，方便管理和维护。

    • --with-pam 启用了PAM（Pluggable Authentication Modules）支持。PAM提供了一种灵活的方式来认证用户，允许管理员通过模块来配置不同的认证机制。

    • --with-ssl-dir=/usr/local/openssl-3.1.2 指定了OpenSSL的安装目录。OpenSSL是一个强大的安全套接字层（SSL）和传输层安全性（TLS）协议的实现，OpenSSH依赖它来提供加密功能。

    • --with-zlib=/usr/local/zlib-1.3.1 指定了zlib的安装目录。zlib是一个广泛使用的数据压缩库，OpenSSH使用它来提高数据传输的效率。

    • --without-hardening 禁用了编译时的强化选项（如果有的话）。这些强化选项通常用于提高软件的安全性，但在某些情况下，由于兼容性问题或特定的部署需求，可能会选择禁用它们。

  2. make && make install

    • make 命令根据Makefile（由./configure脚本生成）中的指令编译软件。它会自动处理编译过程中所需的依赖关系和编译顺序。

    • && 是一个Shell命令操作符，用于连接两个命令，仅当第一个命令成功执行（即返回状态为0）时，才会执行第二个命令。

    • make install 命令将编译好的软件安装到前面./configure脚本指定的位置（在这个例子中是/usr/local/openssh-9.3p1）。这包括可执行文件、库文件、配置文件等。

 6.4、启动sshd
systemctl daemon-reload
systemctl enable sshd.socket
sshd -t
systemctl restart sshd
6.5、查看版本
[root@yfvyy5b2on3knb8q openssh-9.3p1]# openssl version
OpenSSL 3.1.2 1 Aug 2023 (Library: OpenSSL 3.1.2 1 Aug 2023)
[root@yfvyy5b2on3knb8q openssh-9.3p1]# ssh -V
OpenSSH_9.3p1, OpenSSL 3.1.2 1 Aug 2023
[root@yfvyy5b2on3knb8q openssh-9.3p1]# uname -a
Linux yfvyy5b2on3knb8q 3.10.0-957.el7.x86_64 #1 SMP Thu Nov 8 23:39:32 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
[root@yfvyy5b2on3knb8q openssh-9.3p1]#

最后不要着急，由于sshd发生了变化，需要特别注意，需要更改配置

vim  /etc/ssh/sshd_config
 Port 22

 PermitRootLogin yes

Port 22 
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_ecdsa_key
#HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
#RekeyLimit default none

# Logging
#SyslogFacility AUTH
#LogLevel INFO

# Authentication:

#LoginGraceTime 2m
PermitRootLogin yes
#StrictModes yes
#MaxAuthTries 6
#MaxSessions 10
 6.6、无误后关闭telnet服务，没有安装telnet
systemctl stop telnet.socket
systemctl disable telnet.socket
systemctl stop xinetd
systemctl disable xinetd

openssl版本高于1.1.1直接升级openssh即可！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1913680.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

记录｜C#安装+HslCommunication安装

记录｜C#安装+HslCommunication安装

记录线索 前言一、C#安装1.社区版下载2.VS2022界面设置 二、HslCommunication安装1.前提2.安装3.相关文件【重点】 更新记录 前言 初心是为了下次到新的电脑上安装VS2022做C#上机位项目时能快速安装成功。 一、C#安装 1.社区版下载 Step1. 直接点击VS2022&#xff0c;跳转下…
阅读更多...
项目实战--Spring Boot + GraphQL实现实时数据推送

项目实战--Spring Boot + GraphQL实现实时数据推送

背景 用户体验不断提升而3对实时数据的需求日益增长&#xff0c;传统的数据获取方式无法满足实时数据的即时性和个性化需求。 GraphQL作为新兴的API查询语言&#xff0c;提供更加灵活、高效的数据获取方案。结合Spring Boot作为后端框架&#xff0c;利用GraphQL实现实时数据推…
阅读更多...
【基于深度学习方法的激光雷达点云配准系列之GeoTransformer】——粗配准

【基于深度学习方法的激光雷达点云配准系列之GeoTransformer】——粗配准

【GeoTransformer系列】——粗配准 1.coarse_matching1.1 概要1.2 功能1.3 超参1.4 input1.5 output2 coarse_target2.1 概要2.2 功能2.3 input2.4 output在模型部分有了初步了解之后, 接下来我们对后续的粗配准、精配准等部分依次进行解读. 本篇主要来看粗配准部分, 代码是在G…
阅读更多...
叉车防撞系统：揭秘其多样化工作模式

叉车防撞系统：揭秘其多样化工作模式

叉车&#xff0c;作为物流仓储领域的重要工具&#xff0c;其安全性一直备受关注。随着科技的进步&#xff0c;叉车防撞系统应运而生&#xff0c;成为了叉车驾驶员的得力助手。那么&#xff0c;叉车防撞系统究竟是如何实现其安全防护的呢&#xff1f;让我们一同揭开&#xff0c;…
阅读更多...
必看 | 最简单获取IP地址专用SSL证书的申请方法

必看 | 最简单获取IP地址专用SSL证书的申请方法

申请IP地址专用的SSL证书并不像传统SSL证书那样普及&#xff0c;不是所有服务商都提供IP地址的SSL证书&#xff0c;因此需要仔细选择合适的服务商和流程进行操作申请&#xff0c;以此来实现IP地址访问的https。以下是最简单的IP地址专用SSL证书申请方法&#xff1a; 一、准备 …
阅读更多...
YOLOv10改进 | 损失函数篇 | InnerIoU、InnerSIoU、InnerWIoU、FocusIoU等损失函数

YOLOv10改进 | 损失函数篇 | InnerIoU、InnerSIoU、InnerWIoU、FocusIoU等损失函数

一、本文介绍 本文给大家带来的是YOLOv10最新改进&#xff0c;为大家带来最近新提出的InnerIoU的内容同时用Inner的思想结合SIoU、WIoU、GIoU、DIoU、EIOU、CIoU等损失函数&#xff0c;形成 InnerIoU、InnerSIoU、InnerWIoU、等新版本损失函数&#xff0c;同时还结合了Focus和…
阅读更多...
nprogress进度条插件

nprogress进度条插件

打开一个页面时&#xff0c;往往会伴随一些请求&#xff0c;并且会在页面上方出现进度条。它的原理时&#xff0c;在我们发起请求的时候开启进度条&#xff0c;在请求成功后关闭进度条&#xff0c;所以只需要在request.js中进行配置。 如下图所示&#xff0c;我们页面加载时发起…
阅读更多...
一套完善的孕产妇保健信息化管理平台源码：管理了孕妇从怀孕开始到生产结束42天以内的一系列医院保健服务信息

一套完善的孕产妇保健信息化管理平台源码：管理了孕妇从怀孕开始到生产结束42天以内的一系列医院保健服务信息

数字化产科管理平台源码&#xff0c;智慧产科系统源码&#xff0c;采用java语言开发&#xff0c;前端框架为Vue&#xff0c;ElementUIMySQL数据库&#xff0c;前后端分离架构的数字化产科管理系统源码&#xff0c;自主版权&#xff0c;多个大型综合医院、妇幼保健院应用案例&am…
阅读更多...
小米恢复联系人，跟着这2个步骤，让你的社交重回巅峰

小米恢复联系人，跟着这2个步骤，让你的社交重回巅峰

当你突然发现小米手机里的联系人列表变得空空如也&#xff0c;是不是感觉就像失去了与外界沟通的“秘密武器”&#xff1f;别担心&#xff0c;这并不意味着你真的失去了他们。他们可能只是藏在了手机里的某个神秘角落&#xff0c;等待着你的召唤。接下来&#xff0c;小编将会介…
阅读更多...
Redis实战—秒杀优化（Redis消息队列）

Redis实战—秒杀优化（Redis消息队列）

回顾 我们回顾一下前文下单的流程&#xff0c;当用户发起请求&#xff0c;此时会请求nginx&#xff0c;nginx会访问到tomcat&#xff0c;而tomcat中的程序&#xff0c;会进行串行操作&#xff0c;分成如下几个步骤。 1、查询优惠卷 2、判断秒杀库存是否足够 …
阅读更多...
基于STM32的智能加湿器

基于STM32的智能加湿器

1.简介 基于STM32的加湿器发展前景非常乐观&#xff0c;这主要得益于其在技术、市场需求、应用场景以及政策支持等多方面的优势。STM32微控制器具备强大的处理能力和丰富的外设接口&#xff0c;能够实现精确的湿度监测和智能化控制。基于STM32的加湿器可以根据环境湿度自动调节…
阅读更多...
如何在 Windows 10 上恢复未保存的 Word 文档

如何在 Windows 10 上恢复未保存的 Word 文档

您是否整晚都在处理一个重要的 word 文件&#xff0c;但忘记保存它了&#xff1f;本文适合您。在这里&#xff0c;我们将解释如何恢复未保存的 word 文档。除此之外&#xff0c;您还将学习如何恢复已删除的 word 文档。 从专业人士到高中生&#xff0c;每个人都了解丢失重要 W…
阅读更多...
亚信安全新一代终端安全TrustOne2024年重磅升级

亚信安全新一代终端安全TrustOne2024年重磅升级

以极简新主义为核心&#xff0c;亚信安全新一代终端安全TrustOne自2023年发布以来&#xff0c;带动了数字化终端安全的革新。60%&#xff0c;安装部署及管理效率的提升&#xff1b;50%&#xff0c;安全管理资源的节省&#xff1b;100%&#xff0c;信创非信创场景的全覆盖。Trus…
阅读更多...
强化学习实战1：OpenAI Gym 实验环境介绍

强化学习实战1：OpenAI Gym 实验环境介绍

环境配置 我的 torch 版本是 2.3.0&#xff0c;然后 gym 版本是 0.22.0&#xff0c;python 版本是 3.8 &#xff0c;pygame 版本是 2.6.0 。 首先安装一下 gym&#xff1a; pip install gym0.22.0 -i https://pypi.tuna.tsinghua.edu.cn/simple然后安装一下 pygame&#xff…
阅读更多...
Nifi内置处理器Processor的开发

Nifi内置处理器Processor的开发

Nifi-Processor自定义开发的流程 之前说过&#xff0c;大部分的数据处理&#xff0c;我们可以基于ExcuseGroovyScript处理器&#xff0c;编写Groovy脚本去完成&#xff08;或者Jpython&#xff0c;Js脚本等对应的组件&#xff09;&#xff0c;只能说这是基于Nifi平台的使用层面…
阅读更多...
Mxnet转Onnx 踩坑记录

Mxnet转Onnx 踩坑记录

0. 前言 使用将MXNET模型转换为ONNX的过程中有很多算子不兼容&#xff0c;在此对那些不兼容的算子替换。在此之前需要安装mxnet分支v1.x版本作为mx2onnx的工具&#xff0c;git地址如下&#xff1a; mxnet/python/mxnet/onnx at v1.x apache/mxnet GitHub 同时还参考了如下…
阅读更多...
李良济“小儿推拿妈妈班”圆满结课，以中医智慧守护儿童健康成长!

李良济“小儿推拿妈妈班”圆满结课，以中医智慧守护儿童健康成长!

孩子生场病&#xff0c;妈妈半条命&#xff01;作为妈妈最害怕的就是孩子生病&#xff0c;自己又无能为力&#xff01; 为了帮助妈妈们&#xff0c;正确应对孩子健康问题&#xff0c;日常生活中科学帮助孩子提升体质少生病&#xff01; 参加此次课程的&#xff0c;不仅有妈妈&a…
阅读更多...
8.7结构体const使用场景

8.7结构体const使用场景

代码 #include <iostream> using namespace std; #include <string>//const使用场景//定义学生结构体 struct student {string name;int age;int score; };//将函数中的形参改为指针&#xff0c;可以减少内存空间&#xff0c;而且不会复制出新的副本 void printSt…
阅读更多...
Spring Cloud LoadBalancer 入门与实战

Spring Cloud LoadBalancer 入门与实战

一、什么是 LoadBalancer? LoadBalancer(负载均衡器) 是一种网络设备或软件机制&#xff0c;用于分发传入的网络流量负载&#xff08;请求&#xff09;到多个后端目标服务器上&#xff0c;从而实现系统资源的均衡利用和提高系统的可用性和新能。 1.1 负载均衡分类 负载均衡…
阅读更多...
微信小程序中wx.navigateBack()页面栈返回上一页时执行上一页的方法或修改上一页的data属性值

微信小程序中wx.navigateBack()页面栈返回上一页时执行上一页的方法或修改上一页的data属性值

let pages getCurrentPages();let prevPage pages[pages.length - 2]; // 获取上一个页面实例对象console.log(prevPage) //打印信息// 在 wx.navigateBack 的 success 回调中执行需要的方法wx.navigateBack({delta: 1, // 返回上一页success: function() {//修改上一页的属性…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023