Scientific Linux 安全性更新：SL7.x x86_64 上的 openssh
medium Nessus Plugin ID 82258
語系：
概要
遠端 Scientific Linux 主機缺少一個或多個安全性更新。說明
據發現，OpenSSH 用戶端並未正確驗證 DNS SSHFP 記錄。惡意伺服器可能會利用此瑕疵，強制連線的用戶端跳過 DNS SSHFP 記錄檢查，並要求使用者執行 DNS SSHFP 記錄的手動主機驗證。(CVE-2014-2653)
據發現，當 OpenSSH 用於 Kerberos 環境時，如果經過驗證的遠端使用者列於其 ~/.k5users 檔案之中，便可以不同使用者的身分登入，進而可能繞過預定的驗證限制。(CVE-2014-9278)
openssh 套件已升級至 6.6.1 上游版本，其中針對舊版提供數個錯誤修正和增強功能。
錯誤修正：
- 使用 syslog 公用程式記錄時需要現有的 /dev/log 通訊端，根據使用者的主目錄，不是所有的 chroot 環境都能辦到。因此，內部 sftp 子系統中若沒有 /dev/log，便不會在 chroot 設定中記錄 sftp 命令。透過此更新，加強的 openssh 已可偵測 /dev/log 是否存在。如果 /dev/log 不存在，chroot 環境中的處理程序會在記錄時使用各自的主處理程序。
- 主機名稱的緩衝區大小限為 64 位元組。
因此，當主機名稱等於或大於 64 位元組時，ssh-keygen 公用程式會故障。緩衝區大小增加後已修正此錯誤，ssh-keygen 不會再在所述情況下故障。
- 非 ASCII 字元已在標題訊息中由其八進位表示法取代，藉此避免終端機重新程式設計攻擊。因此，包含 UTF-8 字串的標題在用戶端中未正確顯示。透過此更新，標題訊息會根據 RFC 3454 進行處理，控制字元已得以移除，且包含 UTF-8 字串的標題現可正確顯示。
- Scientific Linux 使用在工作階段之間共用的永久性 Kerberos 認證快取。在之前的版本中，GSSAPICleanupCredentials 選項預設為 [是]。因此，在登出時移除 Kerberos 快取，可能會移除其他工作階段的不相關認證，進而讓系統無法使用。為修正此錯誤，GSSAPICleanupCredentials 預設為 [否]。
- /etc/ssh/moduli 檔案的存取權限設為 0600，事實上並不需要如此嚴格。透過此更新，/etc/ssh/moduli 的權限已經改為 0644，藉此讓檔案存取變得更為簡單。
- 由於 KRB5CCNAME 變數遭到截斷，在使用 Kerberos 啟用的 SSH 連線登入後找不到 Kerberos 票證快取。修改基礎原始程式碼後已修正此錯誤，Kerberos 驗證在所述情況中可如預期運作。
增強功能：
- 當 sshd 程序設為強制建立內部 SFTP 工作階段時，系統使用非 SFTP 的連線，並將相關訊息記錄至 /var/log/secure 檔案。
- sshd-keygen 服務的執行是使用 shd.service 單位檔案中的「ExecStartPre=-/usr/sbin/sshd-keygen」選項。透過此更新，已新增獨立的 sshd-keygen.service 單位檔案，且調整後的 sshd.service 會要求 sshd-keygen.service。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 82258
檔案名稱: sl_20150305_openssh_on_SL7_x.nasl
版本: 1.5
類型: local
代理程式: unix
已發布: 2015/3/26
已更新: 2021/1/14
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.5
CVSS v2
風險因素: Medium
基本分數: 5.8
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
弱點資訊
CPE: p-cpe:/a:fermilab:scientific_linux:openssh, p-cpe:/a:fermilab:scientific_linux:openssh-askpass, p-cpe:/a:fermilab:scientific_linux:openssh-clients, p-cpe:/a:fermilab:scientific_linux:openssh-debuginfo, p-cpe:/a:fermilab:scientific_linux:openssh-keycat, p-cpe:/a:fermilab:scientific_linux:openssh-ldap, p-cpe:/a:fermilab:scientific_linux:openssh-server, p-cpe:/a:fermilab:scientific_linux:openssh-server-sysvinit, p-cpe:/a:fermilab:scientific_linux:pam_ssh_agent_auth, x-cpe:/o:fermilab:scientific_linux
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list
修補程式發佈日期: 2015/3/5
弱點發布日期: 2014/3/27
參考資訊
CVE: CVE-2014-2653, CVE-2014-9278